1. Introducción
De acuerdo con el Artículo 15 de la Constitución Política de Colombia “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución…”
En este sentido y de conformidad con lo dispuesto en la Ley 1581 de 2012 y en el Decreto 1074 de 2015, DISEÑO GESTIÓN Y DESARROLLO DE PROYECTOS S.A.S., en delante DE & DE S.A.S., ha decidido adoptar y hacer público a todos los interesados el presente Manual de Políticas y Procedimientos para el Tratamiento y la Protección de los Datos Personales.
Siendo DE & DE S.A.S. consciente de la importancia de proteger la información (no pública) relacionada con sus Empleados, Contratistas y Proveedores y Clientes e Inversionistas, ha tomado medidas para garantizar la seguridad de acceso a sus sistemas informáticos y a los archivos físicos en los que se almacena dicha información, así como para asegurar el apropiado Tratamiento de la misma.
2. Objetivo
El presente Manual establece las condiciones, obligaciones, procedimientos y en general todo lo relacionado con el Tratamiento y la Protección de los Datos Personales que, con ocasión del desarrollo de su objeto social, DE & DE S.A.S. tenga que solicitar, almacenar, usar, actualizar, corregir, circular, ceder o suprimir.
3. Alcance
DE & DE S.A.S. se encarga directamente del Tratamiento y la Protección de los Datos Personales de sus Empleados, Contratistas y Proveedores y Clientes e Inversionistas. Sin embargo, se reserva el derecho a delegar dichas responsabilidades en un tercero, exigiéndole la atención e implementación de medidas para la protección y la estricta confidencialidad de dicha información.
4. Normatividad
La Ley 1581 de 2012 y el Decreto 1074 de 2015, dictan las disposiciones generales para el Tratamiento y la Protección de los Datos Personales en Colombia, teniendo por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en Bases de Datos o Archivos.
Debido a que DE & DE S.A.S. posee Bases de Datos con información de sus Empleados, Contratistas y Proveedores y Clientes e Inversionistas, les son aplicables dichas disposiciones aplicables al Tratamiento y la Protección de los Datos Personales.
5. Definiciones
Aviso de Privacidad: Comunicación verbal o escrita generada por el Responsable dirigida al Titular, mediante la cual se le informa acerca de la existencia de las Políticas para el Tratamiento y la Protección de sus Datos Personales.
Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus Datos Personales.
Base de Datos: Conjunto organizado de Datos Personales que sea objeto de Tratamiento.
Dato: Cualquier información vinculada o que pueda asociarse a una o a varias personas naturales o jurídicas determinadas o determinables.
Dato Público: Aquel calificado como tal según los mandatos de la Ley o de la Constitución Política y que no es ni semiprivado, privado o sensible, tales como los relativos al estado civil de las personas, a su profesión u oficio, a su calidad de comerciante o de servidor público y aquellos que puedan obtenerse sin reserva alguna.
Dato Privado: Aquel que por su naturaleza íntima o reservada sólo es relevante para el Titular.
Dato Semiprivado: Aquel que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general.
Dato Sensible: Aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el Tratamiento y Protección de los Datos Personales por cuenta del Responsable.
Responsable del Tratamiento: Persona que por sí misma o en asocio con otros, decide sobre la Base de Datos y/o el Tratamiento y la Protección de los Datos Personales.
Titular: Persona cuyos Datos Personales sean objeto del Tratamiento y la Protección de los Datos Personales.
Transferencia: Tiene lugar cuando el Responsable y/o el Encargado del Tratamiento y la Protección de los Datos Personales ubicado en Colombia, envía dicha información a un Receptor, que a su vez es Responsable y se encuentra dentro o fuera del país.
Transmisión: Implica la comunicación de los mismos dentro o fuera del país, cuando tenga por objeto la realización de un Tratamiento por el Encargado, pero por cuenta del Responsable.
Tratamiento: Cualquier operación o conjunto de operaciones sobre los Datos Personales, tales como la solicitud, almacenamiento, uso, actualización, corrección, circulación, cesión o supresión.
6. Principios
El presente Manual aplica de manera armónica e integral los siguientes principios fundamentales:
Principio de Legalidad: El Tratamiento y la Protección de los Datos Personales debe ser una actividad reglada y sujeta a las Leyes aplicables.
Principio de Finalidad: El Tratamiento y la Protección de los Datos Personales obedecerán a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual será informada al Titular.
Principio de Libertad: El Tratamiento y la Protección de los Datos Personales sólo pueden ejercerse con el consentimiento, previo, expreso e informado del Titular y por ello no podrán ser obtenidos o divulgados sin previa Autorización o en ausencia de mandato legal o judicial que releve el consentimiento.
Principio de Veracidad: La información sujeta al Tratamiento y la Protección de los Datos Personales debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. No se tratarán datos parciales o incompletos, fraccionados o que induzcan a error. Se deberán adoptar medidas razonables para asegurar que los datos sean precisos y suficientes y cuando así lo solicite el Titular o cuando el Responsable lo determine, sean actualizados, rectificados o suprimidos, siempre que sea procedente.
Principio de Transparencia: En el Tratamiento y la Protección de los Datos Personales deben garantizarse el derecho del Titular a obtener del Responsable y/o del Encargad, en cualquier momento y sin restricciones, información acerca de la existencia de Datos Personales que le conciernan.
Principio de Acceso y/o Circulación Restringido: El Tratamiento de los Datos Personales sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la Ley. Los Datos Personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la Ley.
Principio de Seguridad: El Responsable y/o Encargado proporcionará las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros donde están consignados los Datos Personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Principio de Confidencialidad: Todas las personas que intervengan en el Tratamiento y la Protección de los Datos Personales (que no sean públicos) están obligadas a garantizar la reserva de la información. En consecuencia, se comprometen a conservar y mantener de manera estrictamente confidencial y no revelar a terceros, la información personal, contable, técnica, comercial o de cualquier otro tipo suministrada en la ejecución y ejercicio de las funciones. Todas las personas que trabajen actualmente o sean vinculadas a futuro para tal efecto, en la administración y manejo de las bases de datos, deberán suscribir un documento adicional u otrosí a su contrato laboral o de prestación de servicios para efectos de asegurar tal compromiso. Esta obligación persiste y se mantiene inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento y la Protección.
7. Responsabilidad
Responsable: DISEÑO GESTIÓN Y DESARROLLO DE PROYECTOS S.A.S.-DE & DE S.A.S.
Representante Legal: Darío Delgado Puertas.
Domicilio y Dirección: Calle 88 # 22ª-08 Piso 3, Bogotá DC.
Página Web: www.deyde.co.
Correo Electrónico: ddelgado@deyde.co.
Teléfono: (571) 6182212.
8. Bases de datos
Base de Datos de Empleados: Aquella que contiene la información sobre las personas naturales que se vinculan laboralmente con DE & DE S.A.S. ya sea por medio de un contrato laboral a término fijo o a término indefinido, cumpliendo con los principios de subordinación, remuneración y prestación personal del servicio, como por ejemplo: gerente general, director jurídico, director de recursos humanos, coordinadores de proyectos, controladores de costos, contadores, auxiliares contables, empleados de servicios generales.
Contenido: nombre completo de los Empleados, documentos de identidad, datos de contacto (teléfono, dirección, email, celular), fechas y lugares de nacimiento, estado civil, estudios, grupos familiares, experiencia laboral, referencias, sueldos, salarios, auxilios, exámenes médicos de ingreso y/o egreso, información bancaria, entre otros.
Finalidad: Recopilar y almacenar en los sistemas informáticos y archivos físicos la información necesaria para manejar la Nómina y desarrollar el objeto social; conocer y consultar la información que repose en entidades públicas o privadas, como EPS, Fondo de Pensiones y Cesantías, ARL, Cajas de Compensación, Sena, ICBF, Bancos; elaborar contratos laborales; realizar las afiliaciones y aportes; responder las peticiones como permisos, incapacidades, vacaciones; manejar memorandos, llamados de atención y felicitaciones; expedir certificaciones.
Base de Datos de Contratistas y Proveedores: Aquella que contiene información sobre las personas naturales o jurídicas que se vinculan con DE & DE S.A.S. ya sea por medio de un contrato de mano de obra, de suministro de bienes, de instalación, prestación de servicios, órdenes de compra, facturas como por ejemplo, los encargados de ejecutar las obras, los comercializadores de los proyectos, así como los Bancos, Fiduciarias, Notarias, Curadurías, Dian, Oficina de Catastro, Secretarias de Hacienda.
Contenido: nombre completo de los Contratistas y Proveedores, documentos de identidad, datos de contacto (teléfono, dirección, email, celular), certificaciones bancarias, certificaciones comerciales, certificados de cámara de comercio, rut, información tributaria, de compañías de seguros.
Finalidad: Recopilar y almacenar en los sistemas informáticos y archivos físicos la información necesaria para manejar los proyectos y las obras y desarrollar el objeto social; manejar de contabilidad y flujos de caja; conocer y consultar la información que repose en entidades públicas o privadas, como Bancos, Dian, compañías de seguros; elaborar contratos; tramitar y pagar órdenes de compra, facturas, impuestos; responder las peticiones y reclamos como retrasos en los pagos, solicitud de información, cumplimiento de términos; expedir certificaciones.
Base de Datos de Clientes e Inversionistas: Aquella que contiene información sobre las personas naturales o jurídicas que se vinculan con DE & DE S.A.S. por negocios, que invierten aportando recursos en dinero, o que compran y/o alquilan los productos de los proyectos:
Contenido: nombre completo de los Clientes e Inversionistas, documentos de identidad, datos de contacto (teléfono, dirección, email, celular), datos de su inversión o compra (monto, forma de pago, utilidad), certificaciones bancarias, certificaciones comerciales, certificados de cámara de comercio, rut, información tributaria y crediticia, de compañías de seguros.
Finalidad: Recopilar y almacenar en los sistemas informáticos y archivos físicos la información necesaria para manejar las inversiones y las compras y desarrollar el objeto social; manejar contabilidad y flujos de caja; conocer y consultar la información que repose en entidades públicas o privadas, como Bancos, Fiduciarias, Dian, compañías de seguros; tramitar pagos, elaborar contratos de vinculación, memorandos de entendimiento; responder las peticiones y reclamos como estado de los proyectos, balances; expedir certificaciones.
9. Tratamiento y protección de los datos personales sensibles
Los Datos Personales Sensibles, son aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
Por ello, DE & DE S.A.S. se acoge a la regla general según la cual el Tratamiento de Datos Sensibles está prohibido por la Ley, salvo en los siguientes casos:
El Titular ha autorizado expresamente el Tratamiento.
El Tratamiento sea necesario para salvaguardar el interés vital del Titular.
El Tratamiento sea efectuado por una fundación, ONG, asociación o cualquier organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical.
El Tratamiento sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
El Tratamiento obedezca a una finalidad histórica, estadística o científica, suprimiendo las identidades de los Titulares.
10. Deberes del responsable y/o encargado del tratamiento de los datos personales
DE & DE S.A.S. y todos sus Empleados que por razón de su cargo o de su actividad laboral tengan acceso a los Datos Personales, son responsables de su custodia, confidencialidad y apropiado uso y están obligados a lo siguiente:
Informar al Titular el Tratamiento al cual serán sometidos sus Datos Personales y la finalidad del mismo.
Informar al Titular en forma expresa y clara el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos Sensibles.
Comunicar al Titular los derechos que le asisten y la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
Conservar la prueba de la Autorización otorgada por el Titular.
Almacenar la información sobre los Datos Personales bajo condiciones de seguridad para impedir adulteración, pérdida, consulta, uso o acceso fraudulento o no autorizado.
Actualizar, corregir, rectificar y/o suprimir la información e informar de ello al Encargado del Tratamiento.
Exigir al Encargado del Tratamiento el respeto de las normas sobre Datos Personales para garantizar la seguridad y privacidad de la información del Titular.
Tramitar las consultas y reclamos del Titular sobre el Tratamiento de sus Datos Personales.
Adoptar el presente Manual y cumplir con sus disposiciones.
Poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar solicitudes y reclamos.
Responder los requerimientos de la Superintendencia de Industria y Comercio.
Designar el área encargada de asumir la función de Protección de los Datos Personales.
11. Derechos del titular de los datos personales
De acuerdo con lo contemplado por la normatividad vigente aplicable en materia de Tratamiento y Protección de Datos Personales, los siguientes son los derechos que tienen los Titulares:
Derecho de Acceso: Acceder y conocer en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento.
Derecho de Actualización y/o Rectificación: Actualizar y rectificar sus Datos Personales frente a DE & DE S.A.S. frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.
Derecho de Prueba: Solicitar prueba de la Autorización otorgada a DE & DE S.A.S. para el Tratamiento de sus Datos Personales, mediante cualquier medio válido en los canales dispuestos, salvo en los casos en que no es necesaria la Autorización.
Derecho de Información: Ser informado por DE & DE S.A.S. previa solicitud, sobre el Tratamiento que le ha dado a sus Datos Personales.
Derecho de Queja y/o Reclamo: Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012 y EL Decreto 1074 de 2015 y a las demás normas que las modifiquen complementen o deroguen, previo trámite de consulta o requerimiento ante DE & DE S.A.S.
Derecho de Revocación y/o Supresión: Revocar la Autorización y/o solicitar la supresión de su Dato Personal cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, siempre y cuando el Titular tenga un deber legal o contractual de permanecer en la Base de Datos.
12. Autorización
Obtención de la Autorización: DE & DE S.A.S. deberá obtener de parte de los Titulares su Autorización previa, expresa e informada para recolectar y tratar sus Datos Personales y deberá estar contenida en un documento físico o electrónico. Para esto, es necesario informarle a los Titulares lo siguiente:
El Tratamiento al cual serán sometidos sus Datos Personales y la finalidad.
Los derechos que le asisten como titular previstos en la regulación existente.
La identificación, dirección física o electrónica y teléfono de DE & DE S.A.S. y del Encargado del Tratamiento.
El carácter facultativo de suministrar Datos Personales Sensibles.
Prueba de la Autorización: DE & DE S.A.S. utilizará los mecanismos con que cuenta actualmente e implementará y adoptará las acciones tendientes y necesarias para mantener registros de cuándo y cómo obtuvo Autorización por parte de los Titulares.
Excepciones para la Autorización: La Autorización del Titular no será necesaria en los siguientes casos:
Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
Datos de naturaleza pública.
Casos de urgencia médica o sanitaria.
Tratamiento de información autorizado por la Ley para fines históricos, estadísticos o científicos.
Datos relacionados con el registro civil.
Revocatoria de la Autorización: El Titular de los Datos Personales podrá en todo momento solicitar a DE & DE S.A.S. la revocatoria de la Autorización otorgada, mediante la presentación de un reclamo. Sin embargo, no procederá cuando el Titular tenga un deber legal o contractual de permanecer en la Base de Datos.
13. Transferencia internacional de datos personales
DE & DE S.A.S. no podrá realizar la Transferencia de los Datos Personales a países que no proporcionen niveles adecuados de protección. Sin embargo, ésta restricción no regirá cuando se trate de:
Información a la cual el Titular haya otorgado su Autorización expresa e inequívoca para la transferencia.
Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública.
Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable.
Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad.
Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la Autorización del Titular.
Transferencias legalmente exigidas para la salvaguardia del interés público o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
14. Transmisión de los datos personales
Cuando DE & DE S.A.S. desee enviar o transmitir datos a uno o varios Encargados ubicados dentro o fuera del territorio, deberá mediante cláusulas contractuales o a través de un contrato de transmisión de datos personales pactar lo siguiente:
Los alcances del Tratamiento.
Las actividades que el Encargado realizará en nombre de DE & DE S.A.S.
Las obligaciones que debe cumplir el Encargado respecto del Titular.
La obligación del Encargado de dar cumplimiento a las obligaciones de DE & DE S.A.S. observando la presente política.
El deber del Encargado de cumplir con la finalidad autorizada y observando los principios establecidos.
La obligación del Encargado de proteger adecuadamente los datos personales y las Bases de Datos, así como de guardar confidencialidad respecto del Tratamiento de los datos transmitidos.
15. Procedimiento para el ejercicio de los derechos de los titulares
Consultas: El Titular podrá consultar los Datos Personales que reposan en las Bases de Datos de DE & DE S.A.S., presentando una solicitud por escrito, en las oficinas o por correo electrónico, dirigida al Encargado y/o Responsable y adjuntando su documento de identidad. Si la solicitud va a ser realizada por un causahabiente, apoderado y/o representante, deberá acreditar dicha calidad, de conformidad con las normas aplicables sobre la materia.
Adicionalmente, dicho escrito deberá contener la descripción clara, precisa y detallada de los Datos Personales respecto de los cuales funda su consulta.
El término máximo para resolver la consulta será de siete (7) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
Reclamos: El Titular que considere que la información contenida en una Base de Datos de DE & DE S.A.S. debe ser objeto de corrección, actualización o supresión o cuando adviertan el presunto incumplimiento de cualquiera de los deberes legales, podrá presentar un reclamo escrito por escrito, en las oficinas o por correo electrónico, dirigida al Encargado y/o Responsable y adjuntando su documento de identidad. Si la solicitud va a ser realizada por un causahabiente, apoderado y/o representante, deberá acreditar dicha calidad, de conformidad con las normas aplicables sobre la materia. Adicionalmente, dicho escrito deberá contener la descripción de los hechos que dan lugar al reclamo, la dirección y acompañando los documentos que se quiera hacer valer.
En caso de que quien reciba la solicitud no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del mismo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Una vez recibida el reclamo completo, se incluirá en la Base de Datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
El término máximo para atender el reclamo será de diez (10) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su solicitud, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Una vez cumplidos y agotados los términos señalados por la Ley 1581 de 2012 y las demás normas que la reglamenten o complementen, el Titular al que se deniegue, total o parcialmente, el ejercicio de los derechos de acceso, actualización, rectificación, supresión y revocación, por parte de DE & DE S.A.S. podrá poner dicho evento en conocimiento de la Superintendencia de Industria y Comercio – Delegatura de Protección de Datos Personales.
16. Vigencia
El presente Manual rige a partir del 1 DE NOVIEMBRE DE 2016. Sin embargo, DE & DE S.A.S. podrá modificar los términos y condiciones del presente documento con el fin de reflejar cualquier cambio relevante