MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS DE INGENIERIA DE AGUAS S.A.S (INGEAGUAS S.A.S) PARA GARANTIZAR EL ADECUADO CUMPLIMIENTO DE LOS PRINCIPIOS DE PROTECCIÓN DE DATOS PERSONALES ESTABLECIDOS EN LA LEY 1581 DE 2012 Y NORMAS COMPLEMENTARIAS.
INGENIERIA DE AGUAS S.A.S (en adelante “la Compañía”), es una sociedad comercial dedicada a la fabricación, diseño, importación y comercialización de equipos y suministro de sus insumos. Con el propósito de desarrollar su actividad comercial recopila, almacena, utiliza y en general realiza el tratamiento de datos personales sujetos a protección constitucional de sus empleados, proveedores, clientes, y demás personas naturales o jurídicas con las cuales tiene alguna relación. Teniendo en cuenta que la Constitución Política de Colombia consagra como derecho fundamental la protección de habeas data, y las normas concordantes establecen los derechos que tiene el titular de la información de conocer, actualizar, rectificar y eliminar sus datos personales que han sido recolectados por las fuentes de información, administrados por los operadores y consultados por los usuarios; la Compañía ha desarrollado el presenta manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de los principios de protección de datos personales (“el Manual”).
CONTENIDO
1. Disposiciones generales.
1.1. Objetivo.
1.2. Marco jurídico.
1.3. Definiciones.
1.4. Vigencia.
2. Derechos del titular.
3. Deberes y obligaciones de la Compañía.
3.1. Deberes como responsable.
3.2. Deberes como encargado.
4. Tratamiento de la información.
4.1. Canales de captura.
4.1.1. Escrito.
4.1.2. Telefónico.
4.1.3. Electrónico.
4.1.4. Términos de uso de la página web de la Compañía.
4.2. Campos de captura de la información.
4.2.1. Grupos de interés.
4.3. Autorización de captura.
4.4. Utilización de los datos.
4.4.1. Clientes
4.4.2. Empleados o exempleados.
4.4.3. Proveedores.
4.4.4. Otros públicos.
5. Medidas de seguridad.
5.1. Procedimientos.
5.2. Obligaciones especiales.
6. Procedimiento de atención de peticiones, consultas y reclamos.
7. Modificaciones del Manual.
8. Anexos.
8.1. (Anexo 1) Formato de autorización y uso por medio escrito aviso de privacidad.
8.2. (Anexo 2) Formato de autorización y uso por medio telefónico aviso de privacidad.
8.3. (Anexo 3) Formato de autorización y uso por medio virtual aviso de privacidad.
8.4. (Anexo 4) Términos y condiciones de utilización de medios virtuales.
8.5. (Anexo 5) Listado de campos de captura autorizados.
8.6. (Anexo 6) Autorización para datos recolectados antes de la vigencia de este
Manual.
1. DISPOSICIONES GENERALES.
1.1. Objetivo
El Manual tiene como objetivo establecer e informar los procedimientos, principios, políticas y mecanismos de seguridad ejecutables por la Compañía para garantizar el adecuado tratamiento de los datos personales de terceros y cumplir con lo dispuesto en la Ley 1581 de 2012 y demás normas que de tiempo en tiempoadicionen omodifiquen la materia.
1.2. Marco jurídico
El Manual fue elaborado en consideración a las disposiciones establecidas enlos artículos 15 y 20 del Capítulo I del Título II de la Constitución Políticade Colombia y en la Ley 1581 de 2012, “Por la cual se dictan disposiciones generales para la protección de datos personales”, enespecial lo previsto en el literal K) del artículo 17, así mismo el Decreto Reglamentario 1377 de 2013.
1.3. Definiciones
Conforme con lo establecido en el artículo 3 de la Ley 1581 de 2012 y el artículo 3 del Decreto 1337 de 2013, se tendrán como términos definidos a lo largo del presente Manual los siguientes:
• Dato público: es el dato calificado como tal según los mandatos de la Ley o de la Constitución Políticay aquel que no sea semiprivado, privado o sensible. Son públicos, entre otros, los datos relativos alestado civil de las personas, a su profesión u oficio, a su calidad de comerciante o de servidor público y aquellos que puedan obtenerse sin reserva alguna. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
Dato semiprivado: es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo a su titular, sino a cierto sector o grupo de personas o a la sociedad en general.
• Dato privado: es el dato que por su naturaleza íntima o reservada solo es relevante para el titular.
• Datos sensibles: se entiende por datos sensibles aquellos que afectan la intimidad del titular o cuyo usoindebido puede generar sudiscriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promuevan intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
• Transferencia: la transferencia de datos tiene lugar cuando el responsable o encargado del tratamiento de datos personales, ubicado enColombia, envía la información olos datos personales a un receptor, que a su vez es responsable del tratamiento y se encuentra fuera o dentro del país.
• Transmisión: tratamiento de datos personales que implica la comunicación de los mismos dentro ofueradel territorio de la República de Colombia, cuando tengapor objeto la realización de un tratamiento por el encargado por cuenta del responsable.
• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Titular: persona natural cuyos datos personales sean objeto de tratamiento.
• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
• Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
• Responsable del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decida sobre la base de datos o el tratamiento de los datos.
• Encargado del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realice eltratamiento de datos personales por cuenta del responsable del tratamiento. Adicionalmente, se tendrán como términos definidos los siguientes:
• Contacto: registro en la base de datos que contiene datos personales de personas naturales vinculadas a las diferentes personas jurídicas conlos cuales se relaciona la Compañía.
• Grupos de interés: clasificación interna definida por la Compañía para el manejo grupal de titulares de acuerdo con la naturaleza de la relación, los cuales son: clientes, empleados o exempleados, proveedores y otros públicos.
• Cliente: persona natural o contacto que adquiere, utiliza o potencialmente adquiriría los productos fabricados, diseñados o comercializados por la Compañía.
• Empleado o exempleado: persona natural con la cual la Compañía tiene o tuvo en algún momento una relación laboral de forma directa o a través de empresas de servicios temporales o cooperativas de trabajo asociado.
• Proveedores: personas naturales o jurídicas independientes o asociadas a personas jurídicas con quienes la Compañía tiene relación jurídico-comercial.
• Otros públicos: personas naturales con las cuales la Compañía establece o puede llegar a establecer contacto enfocado al relacionamiento de la Compañía.
• Canales de captura: plataformas o mecanismos a través de los cuales la Compañía realiza la recolección de datos personales.
. Páginas web oficiales: plataforma virtual perteneciente a la Compañía e identificable en la siguiente dirección que se encuentra habilitada como canal de captura: www.ingeaguas.co
• Cuentas oficiales en redes sociales: son aquellos perfiles o páginas de las cuales la Compañía es propietario y administrador exclusivo en una red social.
Comité de hábeas data: agrupación interna de la Compañía conformada por algunos empleados, establecida con el finde mantener actualizado y acorde con las políticas y los fines de la Compañía el presente Manual, para lo cual será el único autorizado para realizar modificaciones en el mismo.
1.4. Vigencia.
El Manual aplicará para las bases de datos personales de las cuales la Compañía es responsable y encargada; entrará en vigencia a partir del primero (1) de enero de 2023.Las bases de datos y el Manual tendrán un período de vigenciaindeterminado de conformidad con la duración del objeto social de la Compañía.
2. Derechos del titular.
De conformidad conlo establecidoen el artículo 8de la Ley 1581 de 2012, todo titular tendrá y podrá hacer exigibles los siguientes derechos:
a) Conocer, actualizar y rectificar sus datos personales frente a los responsables del tratamiento o encargados del tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado;
b) Solicitar prueba de la autorización otorgada al responsable del tratamiento salvo cuando expresamente se exceptúe como requisito para el tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012;
c) Ser informado por el responsable del tratamiento o el encargado del tratamiento, previa solicitud, respecto al uso que le han dado a sus datos personales;
d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen;
e) Revocar la autorización o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el tratamientoel responsableo encargado ha incurrido en conductas contrarias a la Ley y a la Constitución;
f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento. La lista anterior debe entenderse de manera enunciativa y no limitativa pues se entienden por derechos del titular todos aquellos conferidos por la legislación colombiana y las normas internacionales de aplicación en el país.
3. Deberes y obligaciones de la Compañía.
En atención a que en la Compañía concurren las calidades de responsable del tratamiento y encargado del tratamiento, le corresponde el cumplimiento de los deberes previstos para cada uno así:
3.1. Deberes como responsable:
De conformidad con lo establecido en el artículo 17 de la Ley 1581de 2012, el responsable está obligado a cumplir con los siguientesdeberes:
a) Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
b) Solicitar y conservar, en las condiciones previstas en la Ley, copia de la respectiva autorización otorgada por el titular;
c) Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
e) Garantizar que la información que se suministre al encargado del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;
f) Actualizar la información, comunicando de forma oportuna al encargado del tratamiento todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada aeste se mantenga actualizada;
g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento;
h) Suministrar al encargado del tratamiento, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado de conformidad con lo previsto en la Ley;
i) Exigir al encargado del tratamiento, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del titular;
j) Tramitar las consultas y reclamos formulados en los términos señalados en la Ley;
k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de lo previsto en la Ley 1581 de 2012y, enespecial, para la atención de consultas y reclamos;
l) Informar al encargado del tratamiento cuando determinada información se encuentra en discusión por parte del titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;
m) Informar a solicitud del titular sobre el uso dado a sus datos;
n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares;
o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
3.2 Deberes como encargado.
De conformidad con lo establecido en el artículo 18 de la Ley 1581de 2012, elencargado está obligado a cumplir con los siguientesdeberes:
a) Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos establecidos por la Ley;
d) Actualizar la información reportada por los responsables del tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;
e) Tramitar las consultas y los reclamos formulados por los titulares en los términos señalados en la Ley;
f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, enespecial, parala atención de consultas y reclamos por parte de los titulares;
g) Registrar en la base de datos la leyenda “reclamo en trámite” en la forma en que se regula en la presente ley;
h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;
i) Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;
j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;
k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en laadministración de la informaciónde los titulares;
l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
4. Tratamiento de la información.
4.1. Canales de captura.
A continuación se enuncian y definen los mecanismos a través de los cuales la Compañía realiza la recolección de datos personales.
4.1.1. Escrito: es el medio a través del cual de manera física y presencial la Compañía, en el
desarrollo de su objeto social, realizará la recolección de datos personales, a través del formato contenido en el Anexo 1: aviso de privacidad.
4.1.2. Telefónico: es el medio a través del cual, de manera audible, la Compañía realizará la
recolección de datos personales de acuerdo con el formato contenido en el Anexo 2: aviso de privacidad.
4.1.3. Virtual:mecanismo a través del cual la Compañía, utilizando medios tecnológicos no
presenciales habilitadospreviamente, que a la fecha son: la página web, chat oficial y las cuentas oficiales en redes sociales, realizará la recolecciónde datos personales, de acuerdo con el formato contenido enel Anexo 3 y bajo la aceptación de los términos y condiciones contenidos en el Anexo 4.
4.2. Campos de captura de la información.
En desarrollo de los principios de protección de hábeas data, la recolección de datos personales se realizará limitándose a aquellos que son pertinentes y adecuados para el propósito para el cual son recolectados o requeridos por la Compañía. En atención a lo anterior, estarán habilitados para su captura únicamente los campos contenidos en el Anexo 5: listado de campos autorizados.
4.2.1. Grupos de interés.
Corolario a lo anterior, se han establecidos grupos de interés para el manejo grupal de titulares, organizados de acuerdo con la naturaleza de la relación que sostienen con la Compañía. Estos grupos son: Cliente, Empleado o exempleado, Proveedores y otros públicos
4.3. Autorización de captura.
Entiéndase por “autorización”el consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales. Toda autorización debecontener lainformación que será recolectada sobre el titular, así como todas las finalidades del tratamiento para las cuales se obtiene. La Compañía, con el cumplimiento de los requisitos legalesha dispuesto un formato de solicitud de autorización de captura para cada uno de sus canales, dicha solicitud de autorización puede ser consultada en cada uno de los formatos contenidos en los Anexos 1, 2, 3 y 4 del presente Manual.
4.4. Utilización de los datos.
El uso que la Compañía dará a los datos personales recolectados estará siempre sujeto a los principios de protección de hábeas data consagrados en la Ley, y solo se entenderán autorizados los usos contemplados en este Manual, para lo cual dichos usos son presentados de acuerdo con grupos de interés de la siguiente forma:
4.4.1. Clientes.
− Identificación del titular para atención de solicitudes en los canales de atención de la Compañía.
− Generación de estadísticas y reportes.
− Conocimiento del consumidor.
− Investigaciones, estudios de mercado y evaluaciones de satisfacción.
− Implementación de campañas.
− Invitación a eventos comerciales y de mercadeo
− Respuesta y seguimiento a la gestión de peticiones, quejas y reclamos de todo tipo.
− Acompañamiento a compradores y envío de productos.
− Envío de información comercial, educativa, de importancia para la industria o el sector y de servicio.
− Compartirla con terceros relacionados.
− Actualización de datos.
4.4.2.Empleados o exempleados.
− Consulta vía red interna del directorio de empleados.
− Usos propios de la relación laboral como pagos, liquidaciones, memorandos, notificaciones, prestaciones sociales, entre otros.
− Toma de indicadores de canales de venta interna.
− Actualización de indicadores.
− Compartirla con terceros relacionados.
− Actualización de datos.
4.4.3. Proveedores.
Envío de información institucional, comercial y de interés para el sector o la industria.
− Creación y seguimiento a las órdenes de compra.
− Atención de reclamaciones.
− Análisis estadísticos.
− Solicitud de propuestas y cotizaciones.
− Envío y solicitud de información sobre el desempeño de productos.
− Contacto comercial para compras y contratación.
− Compartirla con terceros relacionados.
− Actualización de datos.
− Gestión de pago a proveedores.
4.4.4. Otros públicos.
− Envío de información institucional, comercial y de interés para el sector o la industria.
− Seguimiento a relaciones públicas.
− Estrategias de sensibilización acerca del motociclismo.
− Invitación a eventos.
− Divulgación de lanzamientos de nuevos productos.
− Compartirla con terceros relacionados.
− Actualización de datos.
Para estar en capacidad de informar al titular acerca del uso que el responsable o encargado del tratamiento han dado a sus datos personales, se realizaráregistro de cualquier uso o tratamiento que reciban los datos. En todo caso, deberá entenderse que la organización deluso de la información en grupos de interés tiene fines exclusivamente descriptivos y no limitativos, pues cada uno de los usos descritos en este numeral podrán ser aplicados a cualquiera de los titulares siempre y cuando se respeten los campos de captura estipulados en el Anexo 5.
5. Medidas de seguridad.
La Compañía, para el cuidado de los datos personales de terceros obtenidos a través de los canales autorizados por este Manual, ha dispuesto las medidas de seguridad que usa e implementa en relación a su informaciónpropia y que permiteconcluir razonablemente que cuenta con adecuados modelos de gestión documental y protección de información para cumplir adecuadamente consus obligaciones legales en relación con el cuidado y custodia de información de terceros.
5.1. Procedimientos.
La Compañía cuenta con diferentes plataformas de software a través de las cuales, previo cumplimiento de las políticas de seguridad, administra, custodia, permite el acceso a personal autorizado y realiza el tratamiento de los datos. El software destinado a dicho propósito es de propiedad de la Compañía o cuenta con las licencias, permisos y autorizaciones requeridos para su uso.
6. Procedimiento de atención de peticiones, consultas y reclamos.
6.1. Consultas.
Los titulares o sus causahabientes podránconsultar la información personal del titular que repose en cualquier base de datos que administre la Compañía. La Compañía suministrará a estos la información contenida que esté vinculada con la identificación del titular. La consulta podrá formularse a través de los siguientes canales:
– Correo electrónico: contabilidad@ingeaguas.com.co
– Solicitud enviada a CR 54 72 A 135 CENTRO INDUSTRIAL VALLE SUR, Itagüí, Antioquia.
-Teléfono: 3330505
-Correo electrónico: contabilidad@ingeaguas.com.co
La consulta será atendida en un término máximo de diez (10) días hábiles,contados a partir de la fecha de recibo de la misma en su domicilio principal o del registro de su solicitud en los canales de atención previamente señalados. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún casopodrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
6.2. Reclamos.
El titular o sus causahabientes que consideren que la información contenida en lasbases de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley o en este Manual, podrán presentar un reclamo antela Compañía, el cual será tramitado bajo las siguientes reglas:
6.2.1 El reclamo se formulará mediante solicitud dirigida a la Compañía a través de los canales de atención mencionados en el punto anterior y debe incluir lo siguiente:
− Identificación del titular.
− Descripción de los hechos que dan lugar al reclamo.
− Dirección de notificaciones y respuestas.
− Los documentos o pruebas que se quiera hacer valer.
Si el reclamo resulta incompleto, se requerirá al titular dentro de los cinco (5) díashábiles siguientes ala recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En el caso en que quien reciba el reclamo no sea competente para resolverlo, se dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
6.2.2. Una vez recibido el reclamo completo, el registro asociado al titular pasará a un estado inactivo y se incluirá en la base de datos una leyenda que diga “reclamo en trámite”, además, tendrá asociado un registro de solicitud del cliente,tipo reclamo, que permita observar el motivo del mismo, enun término no mayor ados (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
6.2.3. El término máximo para atender el reclamo seráde quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
7. Procedimiento para modificaciones a este Manual
Para la modificación del presente Manual, se requerirá de la previa y expresa autorización del comité de hábeas data. El comité de hábeas data se reunirá por solicitud de cualquiera de sus miembros y analizará las razones y alcance la modificación requerida o propuesta, la cual deberá ser comunicada a la Compañía y a los terceros parte de los grupos de interés, a través de la página web de la Compañía.
De cada modificación se dejará constancia escrita suscrita por los integrantes, y las modificaciones al Manual serán de obligatorio e inmediatocumplimiento.
8. Anexos
8.2. Anexo 1 Formato de autorización y uso por medio escrito: aviso de privacidad.
8.3. Anexo 2 Formato de autorización y uso por medio telefónico: aviso de privacidad.
8.4. Anexo 3 Formato de autorización y uso por medio virtual: aviso de privacidad.
8.5. Anexo 4 Términos y condiciones de la página web.
8.6. Anexo 5 Listado de campos de captura autorizados.
8.7. Anexo 6 Autorización para datos recolectados antes de la vigencia de este Manual.
