Política de Protección de Datos Personales

El presente manual tiene como finalidad dar cumplimiento a lo dispuesto en el literal k) del artículo 17 de la Ley Estatutaria 1581 de 2012, en la cual se regula los deberes en cabeza de los responsables del tratamiento de datos personales de personas naturales, entre los que se encuentra el de la adopción de un manual interno de políticas y procedimientos mediante el cual se garantice el correcto cumplimiento de esta Ley y en particular, para la atención de las consultas y reclamos realizadas por los titulares de la información.

PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS, dentro del desarrollo de su objeto social cumple con lo establecido en la Ley Estatutaria 1581 de 2012 para ser considerado como Responsable de Tratamiento, condición que es aplicable a toda persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre las bases de datos y/o el Tratamiento de los datos.

El presente manual tiene el propósito de definir los lineamientos para la implementación, monitoreo, sostenimiento y mejora continua del Programa de Protección de Datos Personales, brinda la garantía y seguridad a cualquier clase de dato recopilado por nuestra entidad, cumpliendo con las directrices dispuesta por la Ley y logrando que de esta manera todas las personas se sientan confiadas en la administración que PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS está haciendo de sus datos.

PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS, identificado con NIT. 901.312.446-9, con domicilio principal en la ciudad de Bogotá en la dirección KR 82 BIS No. 54 - 30 Sur, en adelante denominada como "PIRA RIESGOS SAS", en el rol de responsable o encargada del tratamiento de los datos personales, está comprometida con el adecuado tratamiento de los datos de sus empleados, los clientes, los proveedores, los usuarios y los terceros.

El presente manual no aplicará a:

• Los datos de uso exclusivamente personal o doméstico.
• Los datos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo, al igual que los datos para programas anticorrupción.
• Los datos que contengan información de inteligencia y contrainteligencia del Estado.
• Los datos de información periodística y otros contenidos editoriales.
• Las bases de datos y archivos regulados por la Ley Estatutaria 1266 de 2008.
• Las bases de datos y archivos regulados por la Ley 79 de 1993.
• Los datos solicitados por autoridades judiciales, autoridades policivas, entes de investigación del estado.

Para los fines del presente manual, los conceptos y términos que se utilicen tendrán el significado que se otorga a continuación, sin importar si los mismos se utilizan en plural o singular.

• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.
• Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.
• Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; pueden ser manuales o automatizadas.
• Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables, como el nombre, la edad, el sexo, el estado civil, el domicilio, entre otros.
• Derecho de Habeas Data: Derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos.
• Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
• Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o Tratamiento de los datos.
• Titular: Persona natural cuyos datos personales sean objeto de Tratamiento.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: Tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

Con el propósito de dar un adecuado tratamiento a los datos personales, PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS ha identificado el siguiente marco normativo:

El incumplimiento de las políticas y procedimientos para la protección de datos personales definidas en el presente manual, acarrea la imposición de las sanciones de acuerdo con el régimen sancionatorio aplicable a los funcionarios por el código de ética de la Sociedad y los efectos en materia disciplinaria por el reglamento interno de trabajo, sin perjuicio de las sanciones penales y administrativas correspondientes.

Del mismo modo, mientras subsista cualquier incumplimiento evidenciado en los términos del presente manual, este hecho se tendrá como elemento de evaluación para la contratación y/o participación de dicho proveedor en futuros procesos de contratación o relaciones comerciales de cualquier tipo.

PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS está comprometido con el adecuado tratamiento de los datos personales. En todas las actividades que tengan manejo de datos personales, se deberá garantizar la aplicación de los siguientes principios, alineados con el artículo 4 de la Ley 1581 de 2012:

Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.

El artículo 5 de la Ley 1581 de 2012 establece como categoría especial a los Datos Sensibles: "aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos".

Se prohíbe el Tratamiento de datos sensibles, con excepción de los siguientes casos:

• Cuando el Titular otorga su autorización para el Tratamiento.
• El Tratamiento es necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado.
• El Tratamiento es efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros.
• El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• El Tratamiento tenga una finalidad histórica, estadística o científica, adoptando las medidas conducentes a la supresión de identidad de los Titulares.

La Ley 1581 de 2012 en su artículo 7 establece como categoría especial los datos personales de los niños, niñas y adolescentes, y prohíbe su Tratamiento, excepto aquellos de naturaleza pública, cuando dicho Tratamiento cumpla con los siguientes parámetros:

• Que responda y respete el interés superior de los niños, niñas y adolescentes.
• Que se asegure el respeto de sus derechos fundamentales.

Toda captura, recolección, uso y almacenamiento de datos personales que realice PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS, en el desarrollo de sus actividades, requiere de los titulares un consentimiento libre, previo, expreso, inequívoco e informado.

PIRA RIESGOS SAS ha puesto a disposición de los titulares la autorización para el tratamiento de sus datos personales en los diversos escenarios en los cuales realiza la captura del dato, tanto de manera física como digital, a través de coberturas en modelos de autorizaciones o avisos de privacidad.

En todos los casos la obtención de la autorización se realizará bajo las diferentes modalidades que establece la ley, teniendo en cuenta la naturaleza de cada uno de los canales de captura de la información: escrita, oral o mediante conducta inequívoca.

De acuerdo con las disposiciones normativas, los avisos de privacidad deben tener los siguientes elementos:

1. Nombre o razón social y datos de contacto del responsable del tratamiento.
2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.
3. Los derechos que le asisten al titular.
4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información.
5. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.

Los modelos de autorización de tratamiento de datos personales pueden ser tramitados a través de formatos web o documentos físicos.

Las áreas que, en el ejercicio de sus funciones, impliquen la recolección de datos personales a través de formularios web, deberán tener en cuenta:

1. Solicitar sólo aquellos datos personales necesarios conforme con la finalidad del tratamiento.
2. Relacionar en el formato un aviso de privacidad que incorpore la autorización del tratamiento por parte del titular.
3. El envío de la información a través del formulario deberá estar condicionado a la previa aceptación de la autorización de tratamiento del dato.
4. Validar que en el aviso de privacidad se encuentren todas las finalidades de tratamiento asociadas a la captura de los datos personales.
5. Validar que la plataforma que soporta el formulario web tenga la capacidad técnica, operativa y de seguridad para almacenar las autorizaciones.

Las áreas que lleven a cabo iniciativas que impliquen la recolección de datos personales a través de formularios físicos, deberán:

1. Solicitar sólo aquellos datos personales necesarios conforme con la finalidad de la captura.
2. Relacionar en el formato un aviso de privacidad que incorpore la autorización del tratamiento.
3. Para que PIRA RIESGOS SAS pueda realizar el tratamiento de los datos capturados, el titular debe dar la autorización.
4. Validar que en el aviso de privacidad se encuentren todas las finalidades de tratamiento.
5. Garantizar la custodia de los formularios con sus respectivas autorizaciones.

Con el propósito de cumplir con las disposiciones legales para el tratamiento de datos privados como la imagen, PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS ha dispuesto de avisos de privacidad en la entrada de las instalaciones de la sociedad. La imagen de los empleados, clientes y proveedores no requiere autorización adicional, ya que PIRA RIESGOS SAS cuenta con la cobertura en los contratos.

Cada área que realice un tratamiento activo de datos personales debe garantizar la custodia y almacenamiento de la autorización para el tratamiento de los datos. Así mismo, deberán poner a disposición de la Superintendencia de Industria y Comercio o del Oficial de Protección de Datos cuando lo requieran.

PIRA RIESGOS SAS no requerirá Autorización del Titular para el Tratamiento de sus datos personales cuando se trate de:

1. Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
2. Datos públicos.
3. Casos de urgencia médica o sanitaria.
4. Tratamiento de información autorizado por la Ley para fines históricos, estadísticos o científicos.
5. Datos relacionados con el Registro Civil de las Personas.

PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS ha estructurado los siguientes roles para el desarrollo, verificación y control del programa:

Es la persona encargada de liderar el programa de protección de datos personales a través de:

• La planeación, ejecución y seguimiento de los elementos que hacen parte del programa.
• Asesorar y sensibilizar a los empleados en relación con el programa y las principales obligaciones en su ejecución y desarrollo.
• Emitir conceptos y dar respuesta a las inquietudes y requerimientos sobre protección de datos personales a nivel interno y externo.
• Realizar el seguimiento de las normas sobre protección de datos personales y realizar las adecuaciones pertinentes al programa.
• Hacer seguimiento a la correcta implementación del programa.
• Gestionar y liderar el proceso de actualización de bases de datos ante el Registro Nacional de Bases de Datos y realizar los reportes legales que los entes de control soliciten.

Son las personas encargadas de las bases de datos identificadas y reportadas ante el Registro Nacional de Bases de Datos, quienes tienen el deber de reportar actualizaciones o cambios sustanciales en la información de la base de datos que deba ser reportada ante la Superintendencia de Industria y Comercio.

Está encargado de realizar el seguimiento a los principales temas del programa de protección de datos personales. Es el escenario de control en donde se revisan, discuten, validan y aprueban directrices enfocadas a implementar, consolidar y mejorar continuamente las actividades que hacen parte del programa.

Está integrado por el Oficial de Protección de Datos Personales y el siguiente miembro: Luis Hernando Riaño Munar.

El procedimiento de consultas y reclamos se ejecutará de acuerdo con los términos incluidos en la ley y acogidos por la Política de Protección de Datos Personales.

Las solicitudes pueden llegar por los canales habilitados de protección de datos, los cuales son: [email protected], o ser recibidas por cualquier persona vinculada a PIRA RIESGOS SAS. En éste último caso, es necesario que la solicitud sea remitida al canal de protección de datos personales para que el Oficial pueda hacer seguimiento a su trámite y cierre.

Los tiempos de respuesta serán:

• Consultas: Diez (10) días hábiles desde la fecha de recibo.
• Reclamos: Quince (15) días hábiles desde su recibo.

En aquellos eventos en los cuales el Oficial de Protección de Datos Personales evidencie que la solicitud del titular no puede ser tramitada, podrá integrar una mesa de trabajo con asesoría Jurídica y Tecnológica, según corresponda, a efectos de contar con un concepto integral para dar efectiva respuesta al titular.

Para llevar a cabo un adecuado tratamiento de los datos personales, el Oficial de Protección de Datos Personales deberá validar los siguientes elementos de manera periódica:

• Revisión de las actividades que generan algún tipo de tratamiento de los datos personales.
• Validación de los puntos de captura de información personal, identificando el tipo de información que se recolecta y sus finalidades.
• Inventario y actualización de las bases de datos identificadas.
• Seguimiento al cumplimiento de las medidas de seguridad de las bases de datos y repositorios de información.
• Identificación de terceros que realizarán el tratamiento de datos personales.

Los terceros que realicen un tratamiento de datos personales deberán acreditar el cumplimiento de los requisitos del régimen de protección de datos personales, aportando:

• La política de protección de datos personales.
• Información sobre los canales habilitados para el trámite de consultas y reclamos.
• El cumplimiento sobre el registro de las bases de datos ante el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio.

En los contratos que PIRA RIESGOS SAS suscriba se incorporarán cláusulas de protección de datos personales. En el evento en el cual se evidencie incumplimiento por parte del tercero, podrá promoverse la terminación de la relación contractual o comercial vigente.

PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS reconoce la importancia de proteger los datos personales de todos los titulares. Cualquier tipo de iniciativa que implique el tratamiento de datos personales deberá ser objeto de análisis de manera previa, a efectos de validar el alcance de las coberturas que deben tenerse en cuenta para el desarrollo de la misma.

El análisis de impacto de la privacidad permite validar el cumplimiento de las disposiciones legales y reglamentarias en el ejercicio de la captura y tratamiento de los datos personales en relaciones comerciales, transaccionales y los titulares de información.

Los trámites sobre solicitud de conceptos, análisis de impacto de privacidad o coberturas particulares de autorizaciones, serán tramitadas por el Oficial de Protección de Datos Personales a través de correo electrónico.

Para PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS es muy importante tener actualizados a los empleados sobre las disposiciones y reglamentación relacionada con la protección de los datos personales.

PIRA RIESGOS SAS incorporó dentro de su programa de inducción los principales conceptos, lineamientos y disposiciones prácticas sobre el tratamiento de los datos personales, el cual será complementado con la capacitación anual liderada por el área de Gestión Humana o quien realice sus funciones.

El Oficial de Protección de Datos Personales podrá, en cualquier momento, adelantar auditorías de supervisión de cumplimiento de las disposiciones sobre protección de datos personales, con el propósito de garantizar el adecuado cumplimiento y desarrollo del programa en PREVENCION INTEGRAL DE RIESGOS CON ANALITICA PIRA RIESGOS SAS.

Como resultado de las revisiones pueden levantarse planes de acción para cerrar las brechas encontradas, los cuales tendrán seguimiento en los Comités de Habeas Data.