Bogotá D.C., Mayo 17 de 2022 (Versión 2.0)
ITAC IT APPLICATIONS CONSULTING S.A. (en adelante «LA EMPRESA«), es una sociedad constituida bajo las leyes de la República de Colombia, por medio de la escritura pública número 867 del 15 de marzo de 2004 de la Notaría Treinta del Circulo de Bogotá, D.C., identificada con NIT 830.137.539-8, con domicilio en la Avenida 19 No. 120-71 Oficina 501, Bogotá D.C., le asiste la responsabilidad sobre el tratamiento de los datos personales que en el ejercicio de su actividad deban ser recolectados, almacenados, o para uso, circulación y supresión, razón por la cual, en cumplimiento de la normativa vigente se expide el presente Manual de políticas para el tratamiento de datos personales
MARCO LEGAL
Constitución Política de 1991 artículos 15 del Habeas Data, 20 y 74 sobre acceso a la información.
Ley 1266 del 31 de diciembre de 2008 “Por la cual se dictan las disposiciones generales del Habeas Data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y proveniente de terceros países y se dictan otras disposiciones”.
Decreto Reglamentario 1727 del 15 de Mayo de 2009 “Por el cual se determina la forma en la cual los operadores de los bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, deben presentar la información de los titulares de la información.”
Ley 1581 del 17 de octubre 2012 “Por el cual se dictan disposiciones generales para la protección de datos personales”.
Decreto Reglamentario 1377 del 27 de junio de 2013 “Por el cual se reglamenta parcialmente la Ley 1581 de 2012”
Ley 1712 del 6 de marzo de 2014 ““Por medio de la cual se crea la ley de transparencia y del derecho de acceso a la información pública nacional y se dictan otras disposiciones”.
Decreto Reglamentario 103 de 2015 “Por el cual se reglamenta parcialmente la Ley 1712 de 2014 y se dictan otras disposiciones”.
Sentencias de la Corte Constitucional C-1011 de 2008 mediante la cual se estudia la exequibilidad de la Ley Estatutaria 1266 de 2008 y C-748 de 2011 mediante la cual se estudia la exequibilidad de la Ley Estatutaria 1581 de 2012
IDENTIFICACIÓN
Razón social: ITAC IT APPLICATIONS CONSULTING S.A.
NIT: 830.137.539-8
Dirección: Avenida 19 No. 120-71 Oficina 501, Bogotá D.C
Correo electrónico: info@itac.co
Pagina web: www.itac.co
FINES DE LA POLÍTICA DE TRATAMIENTO DE LOS DATOS PERSONALES
En cumplimiento de las disposiciones legales de protección de datos personales, en especial la señalada en el literal k. del artículo 4 de la ley 1581 de 2012, LA EMPRESA, adopta el presente manual interno (en adelante «el Manual») para el tratamiento de la información y los datos personales de las personas naturales que suministran sus datos personales a LA EMPRESA, así como informar a los titulares de los datos personales sobre la posibilidad que tienen al libre ejercicio al derecho de Habeas Data consagrado en el Artículo 15 de la Constitución Política que confiere a las personas la facultad de conocer y/o solicitar la actualización, rectificación o eliminación de las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.
Este documento busca establecer los criterios para la obtención, recolección, uso, tratamiento, procesamiento, intercambio, transferencia y transmisión de datos personales, y fijar las responsabilidades de la EMPRESA y de sus empleados en el manejo y tratamiento de los datos personales que reposen en sus bases de datos y archivos.
Serán objeto de protección con base en la presente directriz, aquellas personas que en ejercicio de cualquier actividad, incluyendo las laborales y comerciales, sean estas permanentes u ocasionales, puedan suministrar cualquier tipo de información o dato personal a la EMPRESA, quien actúa en calidad de Responsable del Tratamiento de datos personales, y quien deberá permitir al Titular de la información, conocerla, actualizarla y rectificarla.
CAPITULO I.
DISPOSICIONES GENERALES
ARTÍCULO 1: Definiciones: Para efectos de la comprensión de este Manual, se precisan con su definición los siguientes términos, definiciones que se ajustan a las normas legales aplicables:
Encargado del Tratamiento: “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”.
Titular de la información: es la persona natural, a quien corresponden los datos personales que son objeto de tratamiento por parte de LA EMPRESA o el encargado que esta designe, el titular de la información tiene derecho a conocer, actualizar y rectificar sus datos personales que reposen en nuestras bases de datos.
Autorización: consentimiento previo expreso e informada emite el titular para llevar a cabo el tratamiento de sus datos personales.
Aviso de privacidad: documento físico, electrónico generado por el responsable del tratamiento que es puesto a disposición del titular con la información relativa a la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las características del tratamiento que se pretende dar a los datos personales.
El derecho al Hábeas Data: es definido por la jurisprudencia constitucional como aquel que otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales. Este derecho tiene naturaleza autónoma y notas características que lo diferencian de otras garantías con las que, empero, está en permanente relación, como los derechos a la intimidad y a la información.
Base de datos: conjunto organizado de datos que son objeto de tratamiento.
Las bases de datos pueden ser:
Bases de datos automatizadas: son aquellas que se almacenan y administran con la ayuda de herramientas informáticas.
Bases de datos manuales o archivos: son aquellas cuya información se encuentra organizada y almacenada de manera física.
Dato personal: de acuerdo con la definición establecida en la Ley 1581 de 2012, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables, como el nombre, la edad, el sexo, el estado civil, el domicilio, entre otros; La Ley 1266 de 2008 define los siguientes tipos de datos de carácter persona:
Adicionalmente, la Ley 1581 de 2012 establece las siguientes categorías especiales de datos personales:
El titular de la información tiene derecho a optar por no permitir a LA EMPRESA, el tratamiento de este tipo de datos (Datos sensibles).
En consecuencia, de lo anterior el suministro de los datos personales de menores de edad es facultativo y debe realizarse con autorización de los padres de familia o representantes legales del menor
Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o el Encargado del Tratamiento de datos personales, ubicado en Colombia, envía información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.
Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
ARTÍCULO 2: Principios: En el desarrollo, interpretación y aplicación del Manual, así como el tratamiento que LA EMPRESA realizase a los Datos Personales, se aplicarán, de manera armónica e integral, los siguientes principios contenidos en la ley 1581 de 2012:
a) Principio de legalidad en materia de Tratamiento de Datos: El Tratamiento de Datos Personales se sujetará a lo establecido en la Constitución y la Ley.
b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular.
c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa Autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones en materia de Habeas Data y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la normatividad vigente. Los Datos Personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la Ley 1581 de 2012.
g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere el presente Manual, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de Datos Personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de Datos Personales cuando ello corresponda al desarrollo de las actividades autorizadas en la normatividad que desarrolla el derecho al Habeas Data.
i) Principio de temporalidad de la información :a información del Titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos.
CAPITULO II
DERECHOS DE LOS TITULARES Y DEBERES DEL RESPONSABLE
ARTÍCULO 3. Derechos de los Titulares de la información: LA EMPRESA se compromete a respetar y garantizar los siguientes derechos de los titulares de los datos:
Acceder, actualizar, rectificar, corregir, revocar u oponerse a los datos personales que sean objeto de tratamiento por LA EMPRESA . Este derecho se podrá ejercer, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
Derecho de Acceso. Este derecho comprende la facultad del titular del dato de obtener toda la información respecto de sus propios datos personales, sean parciales o completos, del tratamiento aplicado a los mismos, de la finalidad del tratamiento, la ubicación de las bases de datos que contienen sus datos personales, y sobre las comunicaciones y/o cesiones realizadas respecto de ellos, sean estas autorizadas o no. El acceso a los datos personales que hayan sido objeto de tratamiento se garantiza de forma gratuita una vez al mes o cada vez que existan modificaciones sustanciales a estas políticas de tratamiento de la información que motiven nuevas consultas. Para consultas cuya periodicidad sea mayor a una por cada mes calendario, la entidad podrá cobrar al titular los gastos de envío, reproducción y, en su caso, certificación de documentos.
Derecho de Actualización. Este derecho comprende la facultad del titular del dato de actualizar sus datos personales cuando éstos hayan tenido alguna variación.
Derecho de corrección. Este derecho comprende la facultad del titular del dato de solicitar la modificación de los datos que resulten ser inexactos, incompletos o inexistentes.
Derecho de Cancelación. Este derecho comprende la facultad del titular del dato de cancelar sus datos personales o suprimirlos cuando sean excesivos, no pertinentes, o el tratamiento sea contrario a las normas, salvo en aquellos casos contemplados como excepciones por la ley, o cuando se mantengan en razón de la existencia de una relación contractual o comercial.
Derecho a la Revocatoria del Consentimiento. El titular de los datos personales tiene el derecho de revocar el consentimiento o la Autorización que habilitaba a LA EMPRESA para un tratamiento con determinada finalidad, salvo en aquellos casos contemplados como excepciones por la ley y/o que sea necesario en un marco contractual específico.
Derecho de Oposición. Este derecho comprende la facultad del titular del dato de oponerse al Tratamiento de sus datos personales, salvo los casos en que tal derecho no proceda por disposición legal o por vulnerar intereses generales superiores al interés particular.
LA EMPRESA, con base en los legítimos derechos que argumente el titular del dato personal, hará un juicio de proporcionalidad o ponderación con el fin de determinar la preeminencia o no del derecho particular del titular del dato sobre otros derechos.
Adicionalmente podrán presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen.
LA EMPRESA suministrará, actualizará, rectificará o suprimirá los datos personales a solicitud del titular de la información para corregir información parcial, inexacta, incompleta, fraccionada que induzca al error o aquella que haya sido tratada previa a la vigencia de la ley y que no tenga autorización o sea prohibida.
ARTÍCULO 4. Deberes de los Responsables y/ o Encargados del Tratamiento: LA EMPRESA, en calidad de Responsable y/o Encargado de la Información, deberá cumplir con los siguientes deberes, sin perjuicio del cumplimiento de las demás normas que le impongan deberes y en otras que rijan su actividad:
a) Informar al Titular en forma expresa y clara el Tratamiento al cual serán sometidos los Datos Personales y la finalidad del mismo; el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; los derechos que le asisten como Titular y la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
b) Conservar la prueba de la autorización del Titular y de la información que le suministró al momento de obtener dicha autorización, así como la información bajo condiciones de seguridad para impedir adulteración, pérdida, consulta, uso o acceso fraudulento o no autorizado.
c) Actualizar la información e informar de ello al Encargado del Tratamiento.
d) Rectificar la información y comunicar lo pertinente al Encargado del Tratamiento.
e) Suministrar al Encargado del Tratamiento la información autorizada.
f) Exigir al Encargado del Tratamiento el respeto de las normas sobre Datos Personales para garantizar la seguridad y privacidad de la información del Titular.
g) Tramitar las consultas y reclamos del Titular sobre el tratamiento de Datos Personales.
h) Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de las normas sobre Tratamiento de Datos Personales.
i) Informar al Titular sobre el uso dado a sus datos.
j) Poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización.
k) Responder los requerimientos de la Superintendencia de Industria y Comercio mediante una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información; una descripción de las finalidades para las cuales es recolectada la información y una explicación sobre la necesidad de recolectar los datos.
l) Designar el área encargada de asumir la función de protección de datos personales.
CAPITULO III
PROCEDIMIENTO PARA LA ATENCIÓN DE CONSULTAS Y RECLAMOS POR PARTE DE LOS TITULARES.
ARTÍCULO 5. Consultas: El Titular y sus causahabientes podrán consultar la información personal del Titular que repose en las bases de datos de LA EMPRESA. LA EMPRESA suministrará al Titular y sus causahabientes la información contenida en el registro individual o que esté vinculada con la identificación del Titular. Para realizar las consultas se requiere:
a. La solicitud puede ser presentada por escrito en las oficinas de LA EMPRESA ubicadas en la Avenida 19 No. 120-71 Oficina 501 de la ciudad de Bogotá, dirigidas al Representante Legal o por correo electrónico dirigido a info@itac.co. La solicitud debe venir acompañada del documento de identidad del Titular.
b. Cuando la solicitud sea realizada por un causahabiente, apoderado y/o representante del titular, deberá acreditar dicha calidad, de conformidad con las normas aplicables sobre la materia.
La consulta será atendida en un término de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible responder la consulta dentro de dicho término, se informará al interesado antes del vencimiento de los 10 días hábiles, expresando los motivos de la demora y señalando la fecha en que se atenderá la solicitud, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
ARTÍCULO 6. Reclamos: El Titular o sus causahabientes que consideren que la información contenida en una Base de Datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012 o en este Manual, podrán presentar un reclamo escrito ante LA EMPRESA, el cual será tramitado bajo las siguientes reglas:
a. El reclamo se formulará escrito en las oficinas de LA EMPRESA ubicadas en la Avenida 19 No. 120-71 Oficina 501 de la ciudad de Bogotá, dirigidas al Representante Legal, o por correo electrónico dirigido a info@itac.co.
b. La solicitud debe estar acompañada del documento de identidad del Titular. Cuando la solicitud sea realizada por un causahabiente, apoderado y/o representante del titular, deberá acreditar dicha calidad de conformidad con las normas aplicables sobre la materia.
c. En esta solicitud debe constar la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer.
d. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
e. En caso de que LA EMPRESA no sea competente para resolver el reclamo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
f. Una vez recibido el reclamo completo, se incluirá en la Base de Datos una leyenda que diga «RECLAMO EN TRÁMITE» y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
g. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
ARTÍCULO 7. Quejas ante la Superintendencia de Industria y Comercio: El Titular o su causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante LA EMPRESA.
CAPITULO IV.
FINALIDAD DEL TRATAMIENTO DE LOS DATOS PERSONALES
ARTÍCULO 8. Los Datos Personales suministrados por los Titulares a LA EMPRESA serán tratados para:
a. Almacenamiento en el sistema informático interno de LA EMPRESA.
b. Mantenimiento, desarrollo y gestión de la relación comercial entre LA EMPRESA en ejercicio de su objeto social y los Titulares.
c. Uso de la información por parte de LA EMPRESA, exclusivamente para procedimientos y documentos relacionados con el ejercicio del objeto social de LA EMPRESA.
d. Cumplir con las disposiciones normativas sobre transferencia de datos a terceros países en caso de que dicha transferencia sea necesaria.
e. Proveer información a las autoridades que lo soliciten expresamente y en ejercicio de sus funciones o para responder requerimientos administrativos y/o judiciales.
CAPITULO V.
AUTORIZACIÓN Y AVISO DE PRIVACIDAD
ARTÍCULO 9. Autorización: LA EMPRESA cuenta con los mecanismos adecuados para que, en forma en forma libre, previa y expresa y a más tardar en el momento de la recolección de los Datos Personales, LA EMPRESA obtenga del Titular la autorización para el Tratamiento de sus Datos Personales así como para garantizar su consulta. La recolección de Datos Personales deberá limitarse a aquellos datos personales que sean pertinentes y adecuados para la finalidad para la cual son recolectados y deberá ser obtenida por cualquier medio que pueda ser objeto de consulta y verificación posterior por parte del Titular.
ARTÍCULO 10. Modo de Otorgar la Autorización: La autorización del Titular puede darse por escrito, de forma oral o mediante conductas inequívocas de éste, que permitan concluir de forma razonable que otorgó la autorización. La autorización puede constar en un documento físico, electrónico (mensaje de datos, Internet, sitios web), o en cualquier otro formato que permita garantizar su posterior consulta. Así mismo, podrá otorgarse mediante un mecanismo técnico o tecnológico idóneo, que permita manifestar su consentimiento de manera electrónica, para a concluir de manera inequívoca, que, de no haberse surtido una conducta del titular, los datos nunca hubieren sido capturados y almacenados en la base de datos.
Artículo 11. Prueba de la Autorización: LA EMPRESA dispondrá de los medios tecnológicos o físicos con que cuenta actualmente, e implementará y adoptará las acciones tendientes y necesarias para mantener registros o mecanismos técnicos o tecnológicos idóneos, que permitan demostrar cuándo y cómo se obtuvo la autorización por parte de los titulares. Para dar cumplimiento a lo anterior, se podrán establecer archivos físicos o repositorios electrónicos realizados de manera directa o a través de terceros contratados para tal fin.
Artículo 12. Revocatoria de la Autorización: Los Titulares de los Datos Personales pueden en cualquier momento revocar el consentimiento al tratamiento de sus Datos Personales, siempre y cuando el Titular no tenga un deber legal o contractual de permanecer en la base de datos. La revocatoria deberá ser solicitada por el Titular a través del correo electrónico dirigido a info@itac.co.
ARTÍCULO 13. Aviso de Privacidad: LA EMPRESA informa que el aviso de privacidad de tratamiento de los datos personales podrá consultarlo en www.itac.co Con este aviso se informa a los Titulares sobre la existencia de las políticas de LA EMPRESA sobre Protección de Datos Personales y la forma de acceder a las mismas.
ARTÍCULO 14. MEDIDAS DE SEGURIDAD DE LA INFORMACIÓN
Los datos personales sujetos a tratamiento deberán ser manejados con las medidas necesarias para su protección, brindando la seguridad de que ésta no pueda ser copiada, adulterada, eliminada, consultada o de alguna manera utilizada sin autorización o para uso fraudulento
CAPITULO VI.
VIGENCIA DE ESTE MANUAL
ARTÍCULO 15. Vigencia. La presente Política para el Tratamiento de Datos Personales rige a partir de la fecha de su expedición, se divulgará a través del portal institucional, y estará sujeto a actualizaciones en la medida en que se modifiquen o se dicten nuevas disposiciones legales sobre la materia. Cuando se cumplan estas condiciones, LA EMPRESA informará a los titulares de los datos personales, sus causahabientes o representantes, las nuevas medidas dictadas sobre la materia, antes de implementar las nuevas políticas. Además, deberá obtener del titular una nueva autorización cuando el cambio se refiera a la finalidad del tratamiento
Dada en Bogotá D.C., Mayo 17 de 2022 (Versión 2.0)