POLÍTICA DE TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES

INTRODUCCIÓN

Heinsohn Business Technology S.A. BIC y Heinsohn Human Global Solutions S.A.S. BIC en adelante Heinsohn, en su condición de Responsable o Encargado conjunto del tratamiento de los datos personales; reconoce la importancia de la confidencialidad, seguridad y privacidad de los datos personales de sus trabajadores, clientes, proveedores y de los titulares de datos proporcionados por nuestros clientes y público en general con ocasión de las actividades para las cuales ha sido legalmente facultada; pone a disposición de los grupos de interés, su Política para el Tratamiento de Datos Personales, en cumplimiento del mandato legal, establecido en la Constitución Política de Colombia (artículos 15 y 20), la Ley estatutaria 1581 de 2012 y sus decretos reglamentarios.

OBJETIVO

Establecer las actividades relacionadas con el tratamiento al cual serán sometidos los datos personales que componen las bases de datos en archivos físicos y electrónicos de Heinsohn. Se establecen los mecanismos para ejercer los derechos que le asisten como Titular de los datos, así como las finalidades, uso, circulación, almacenamiento, los deberes de Heinsohn en su calidad de responsable o Encargado conjunto de los datos y las disposiciones para la transferencia y/o transmisión de información nacional o internacional.

ALCANCE

La presente Política tiene como propósito establecer criterios, procedimientos y requisitos para el tratamiento de los datos personales que reposan en las bases de datos almacenados en los archivos físicos y digitales de Heinsohn, estas directrices deben ser cumplidas y acatadas por todos los trabajadores, contratistas, proveedores, acreedores, etc., dentro del marco de sus actividades diarias tanto en el interior de Heinsohn como en las relaciones que se tengan con terceros.

DEFINICIONES

Para efectos interpretativos y brindar mayor entendimiento de la Política para el Tratamiento de Datos Personales en Heinsohn, se adoptan las siguientes definiciones:

Aliados Estratégicos: Persona Natural o Jurídica, que se vincula con la compañía, para suministrar servicios de carácter contractual para el desarrollo del objeto social de Heinsohn. Los Aliados estratégicos comparten el compromiso por la observancia de la normatividad actual vigente, asociada a la protección de datos personales en el desarrollo de su operación, así como las regulaciones y tendencias internacionales sobre protección y privacidad de os datos personales.
Anonimización: Mecanismo técnico o tecnológico por medio del cual se oculta, pixela, difumina o encubre un dato de naturaleza privada, semiprivada o sensible. Un “dato anónimo” no permite, razonablemente, establecer a qué persona natural se refiere, vincula o asocia; entonces, dicha información no es un dato personal. Los datos personales que hayan sido objeto de procesos de Anonimización, cifrado, presentados con un seudónimo o que, por cualquier medio, tecnología o proceso, se desvinculan o desasocian de una persona natural, pero que puedan utilizarse para volver a identificar a esa persona, siguen siendo datos personales.
Autorización: Consentimiento previo, expreso e informado, emitido por el Titular, para efectos de someter sus datos a una actividad de tratamiento.
Aviso de Privacidad: Comunicación verbal o escrita generada por el responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.
Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; los Datos Personales pueden ser públicos, semiprivados, privados o sensibles.
- El dato personal se clasifica en: Dato Público: Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros o documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
- Dato Semiprivado: Son los datos que no tienen naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo al Titular, sino a cierto sector o a la sociedad en general. Los datos financieros y crediticios de la actividad comercial o de servicios, son algunos ejemplos.
- o Dato Privado: Son los datos que por su naturaleza íntima o reservada solo es relevante para el Titular. Los gustos o preferencias de las personas, por ejemplo, corresponden a un dato privado.
- Dato Sensible: Son aquellos que afectan la intimidad del Titular o pueden dar lugar a que lo discriminen, es decir, aquellos que revelan su origen racial o étnico, su orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos, entre otros. Solo se recolectarán datos sensibles (salud y biométricos) en casos estrictamente necesarios y con autorización expresa, de acuerdo con la ley.
- Datos Biométricos: Todos aquellos datos relativos a las características físicas, fisiológicas o comportamentales de una persona que faciliten su identificación. La “autentificación biométrica” es la aplicación de técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo, para verificar su identidad. Las huellas dactilares, la retina, el iris, los patrones faciales, de venas de la mano o la geometría de la palma de la mano, representan ejemplos de características físicas (estáticas), mientras que entre los ejemplos de características del comportamiento se incluye la firma, el paso y el tecleo (dinámicas). Solo se recolectarán datos biométricos en casos estrictamente necesarios y con autorización expresa, de acuerdo con la ley.
Encargado del Tratamiento: Aquella persona natural o jurídica que, por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del Responsable del tratamiento.
Oficial de Protección de Datos Personales: Persona encargada de implementar, vigilar, controlar y promover la aplicación de la Política de Tratamiento de Datos Personales al interior de la compañía.
Repositorio de Información: Conjunto organizado de datos en medios físicos o magnéticos, que pueden contener o no información personal del Titular de los datos, los cuales no son sujetos de reporte ante los Entes de Control.
Requisito de Procedibilidad: El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio (SIC) una vez haya agotado el trámite de consulta o reclamo ante el Responsable Encargado del tratamiento, lo anterior según el artículo 16 de la ley 1581 de 2012.
Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
Titular del Dato: Persona natural que actúa por sí misma o en nombre legal de otros (ejemplo: menores de edad), cuyos datos personales sean objeto de tratamiento.
Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del tratamiento de datos personales ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento se encuentra dentro o fuera del país.
Transmisión: La transmisión de datos personales por su parte implica la comunicación de los mismos dentro o fuera del territorio colombiano y tiene por objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.
Tratamiento: Cualquier operación o conjunto de operaciones sobre los datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

5. DESARROLLO

5.1 MARCO NORMATIVO

La presente política de tratamiento de Datos Personales está estructurada con base en el cumplimiento y regulación normativa sobre protección de Datos Personales de acuerdo con la legislación vigente.

• Artículo 15 de la Constitución Política de Colombia que consagra los derechos a la intimidad, buen nombre y a la protección de Datos Personales o hábeas data.

• Ley estatutaria 1266 de 2008 Por la cual se dictan las disposiciones generales del Hábeas Data.

• Ley estatutaria 1581 de 2012 por la cual se dictan disposiciones generales para la protección de Datos Personales.

• Decreto 1377 de 2013, que reglamenta parcialmente la Ley 1581 de 2012 en aspectos relacionados con la autorización del Titular de la Información, las transferencias de datos personales y la responsabilidad demostrada frente al tratamiento de datos personales.

• Decreto 886 de 2014, que reglamenta parcialmente la ley 1581 de 2012 en lo relacionado con el Registro Nacional de Bases de Datos.

• Decreto 1074 de 2015, el Decreto Único Reglamentario busca racionalizar, simplificar y unificar la normatividad reglamentaria en el país, en el Sector Comercio, Industria y Turismo. Cualquier otra disposición que modifique, reglamente, sustituya o derogue las normas anteriormente mencionadas.

5.2 OBLIGATORIEDAD

Esta política es de obligatorio y estricto cumplimiento por parte de Heinsohn, sus trabajadores, clientes, proveedores, contratistas y, en general, cualquier tercero que sostenga vínculo contractual o legal con nosotros y que, debido a ello, tenga acceso a información de la organización. Todos los trabajadores de Heinsohn deben conocer, observar, respetar y dar cumplimiento de acuerdo con las funciones que desempeñe, en lo que corresponda.

5.3 RESPONSABLE DEL CUMPLIMIENTO DE LA POLÍTICA

Heinsohn ha designado al área jurídica en conjunto con el oficial de protección de datos, cuando esta figura existiere dentro de Heinsohn, como responsable del cumplimiento de la presente política. Las e áreas transversales de Seguridad de la Información y de Tecnologías de la Información apoyarán al cumplimiento de la presente política.

5.4 DATOS DE CONTACTO

Actuando en calidad de Responsable del tratamiento de datos, Heinsohn se identifica a través de los siguientes datos para efectos de la presente política: Razones sociales: Heinsohn Business Technology S.A. BIC con NIT. 900173404 y Heinsohn Human Global Solutions S.A.S. BIC con NIT. 9001734049 Sigla: Heinsohn. Domicilio: Bogotá D.C. Dirección: Carrera 13 # 82 – 49 P6, Correo electrónico: protecciondatos@heinsohn.com.co Teléfono: (601) 917 21 72

5.5 PRINCIPIOS APLICABLES AL TRATAMIENTO DE DATOS PERSONALES

Heinsohn aplicará los principios que se mencionan a continuación, los cuales constituyen las directrices a seguir en la recolección, manejo, uso, tratamiento, almacenamiento e intercambio de datos personales con terceros involucrados:

5.5.1 Principio de Legalidad: El tratamiento de los datos personales deberá realizarse conforme a las disposiciones legales vigentes aplicables según corresponda. Heinsohn buscará garantizar el cumplimiento del Régimen Normativo de Protección de Datos Personales, estableciendo obligaciones para sus trabajadores, proveedores, contratistas y demás personas vinculadas .

5.5.2 Principio de Finalidad: Los datos personales deben ser utilizados para un propósito específico y explicito permitido por la normatividad vigente, el cual debe ser informado al Titular de los datos. El Titular debe ser informado de manera clara, suficiente y previa a la recolección de los datos sobre la finalidad del tratamiento de la información que estaría suministrando a la compañía.

5.5.3 Principio de Libertad: Las actividades de tratamiento al cual serán sometidos los datos personales se ejecutarán únicamente cuando el Titular de los datos haya emitido, de manera previa, expresa e informada la autorización para tal fin, salvo que sean de aquellos que, en virtud de lo dispuesto por el artículo 10 de la Ley 1581 de 2012, no requieran autorización del Titular.

5.5.4 Principio de Veracidad o Calidad: Heinsohn, internamente ha dispuesto mecanismos de actualización de la información personal, con el propósito de asegurar que los datos sean veraces, completos, exactos, comprobables, verificables y actualizados. Consecuencialmente nos abstenemos de tratar datos parciales, incompletos, fraccionados o que induzcan a error.

5.5.5 Principio de Transparencia: En cumplimiento de este principio, en Heinsohn hemos adoptado mecanismos idóneos para garantizar que el Titular de los datos obtenga, en cualquier momento y sin restricciones, información acerca de la existencia de cualquier tipo de dato personal que sea de su Titularidad o que le concierna.

5.5.6 Principio de Acceso y Circulación Restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley.

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley.

5.5.7 Principio de Seguridad: La información sujeta a tratamiento por el Responsable o Encargado a que se refiere la ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Heinsohn ha establecido diferentes tipos de medidas tecnológicas, físicas y administrativas para evitar cualquier tipo de intromisión o tratamiento no autorizado de los datos personales por parte de trabajadores o terceros que no se encuentren facultados para acceder a información confidencial.

5.5.8 Principio de Confidencialidad: Todas y cada una de las personas que interactúan en el tratamiento de datos personales realizado en Heinsohn, que administren, manejen, actualicen o tengan acceso a la información personal, comercial, contable o cualquier otro tipo que se encuentre en las bases de datos o repositorios de información que sea suministrada en la ejecución y ejercicio de sus funciones, se compromete a conservar y a mantener de manera estrictamente confidencial y reservada los datos personales que por sus funciones en el cargo sean de su conocimiento, inclusive después de finalizada su relación contractual con la compañía, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley.

5.5.9 Principio de Responsabilidad Demostrada (Accountability): Heinsohn está en capacidad de demostrar ante la Superintendencia de Industria y Comercio, que ha implementado las obligaciones exigidas por la legislación colombiana en protección de datos personales, atendiendo a su naturaleza jurídica estableciendo políticas, manuales, procedimientos, estructura de gobierno, inventario de las bases de datos, identificación de los riesgos asociados al manejo de datos y en general, el cumplimiento de las obligaciones establecidas en la ley.

5.6 LIMITACIONES TEMPORALES AL TRATAMIENTO DE LOS DATOS PERSONALES

Heinsohn en el ejercicio de su rol como Responsable o Encargado conjunto del tratamiento de datos personales, solo podrá recolectar, almacenar, usar o circular información personal durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez se haya culminado el objetivo de las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario, el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión. No obstante, lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual.

5.7 AUTORIZACIÓN OTORGADA POR EL TITULAR

Las actividades de tratamiento de información reglamentadas en la presente Política serán ejecutadas exclusivamente sobre datos personales cuyos Titulares hayan emitido su autorización de manera previa, expresa e informada; la cual deberá ser obtenida a través de los formatos de Autorización para el Tratamiento de Datos Personales según corresponda, o de cualquier otro medio que para el efecto decida establecer Heinsohn, en el entendido que todos ellos deberán permitir su consulta posterior. Sin excepción alguna, para poder realizar las vinculaciones de personas naturales como proveedores, contratistas o trabajadores, se deberá diligenciar el formato de Autorización para el Tratamiento de Datos Personales, asignado para el área correspondiente. Este documento deberá quedar archivado en la carpeta del titular (trabajadores, proveedores, entre otros).

5.7.1 AUTORIZACIÓN, MEDIO Y MANIFESTACIONES PARA OTORGAR LA AUTORIZACIÓN

La autorización para el tratamiento de la información personal de los Titulares en los diferentes escenarios descritos en la presente política será obtenida por medio de solicitudes de avisos de privacidad puestos a disposición de los Titulares en cada uno de los canales o puntos de captura de información asociados con la operación de la Compañía.

El aviso de privacidad que es puesto en conocimiento del Titular, antes o a más tardar en el momento de la recolección de sus datos, es el medio por el cual le es informado todo lo relativo con las políticas de tratamiento de información que le serán aplicables, la forma para conocerlas, sus derechos, las finalidades para las cuales sus datos han sido obtenidos y los canales para el ejercicio de los derechos.

En todos los casos, la autorización que es otorgada por el Titular para el tratamiento de los datos debe ser otorgada de forma previa, expresa e informada y su manifestación puede materializarse bajo las diversas modalidades establecidas en las normas que regulan la protección de los datos personales, siendo escrita, verbal o a través de conductas inequívocas.

Sin perjuicio de lo anterior, Heinsohn se reserva el derecho a ejecutar actividades de tratamiento, sobre información cuya autorización no sea requerida en virtud de las disposiciones legales que reglamentan la materia, caso en el cual continúan vigentes los compromisos de la compañía frente a los Titulares establecidos en la presente política. Sin excepción alguna, para poder realizar las vinculaciones de personas naturales como trabajadores, proveedores o contratistas, se deberá diligenciar el(los) formato(s) destinado(s) para obtener la autorización para el tratamiento de datos.

La evidencia deberá contar con las medidas pertinentes de seguridad que eviten el acceso a personal no autorizado. Cualquier dato positivo o negativo que repose en las bases de datos de un Encargado del Tratamiento de la información, sin contar con la autorización otorgada por su Titular, deberá ser eliminado previa autorización del Oficial de Protección de Datos Personales, una vez se advierta la ausencia de esta como consecuencia de la solicitud del Titular, surtida a través del respectivo reclamo.

5.7.2 EVIDENCIA DE LA AUTORIZACIÓN

La autorización para el adecuado tratamiento de los datos personales depende del canal o punto de recolección de la información, por lo cual la prueba estará enfocada al mecanismo utilizado para obtenerla; como ejemplo de ello serán los formatos escritos, los registros de aceptación a través de medios audiovisuales, las grabaciones de audio, o cualquier otro medio autorizado por Heinsohn que se desarrolle a futuro. Para los efectos pertinentes, es importante destacar que Heinsohn, puede utilizar como modalidades de obtención de datos personales sometidos a tratamientos:

(i) La recolección directa de datos a través de las bases de datos (Responsable) o (ii) la obtención de datos personales suministradas por terceros, quienes previamente deberán demostrar que cuentan con la autorización del Titular (Encargado). Heinsohn conservará la copia de las autorizaciones emitidas por cada uno de los Titulares de los datos que componen las bases de datos que contienen datos personales en la compañía.

5.7.3 EVENTOS EN QUE NO RESULTA NECESARIA LA AUTORIZACIÓN DEL TITULAR

La autorización del Titular no será necesaria en los siguientes eventos:

• La Información sea requerida por una entidad pública o administrativa en ejercicio de sus funciones legales

• Por orden judicial.

• Se trate de datos de naturaleza pública

• Se trate de casos de urgencia médica o sanitaria.

• El Tratamiento de Datos Personales esté autorizado por la ley para fines históricos, estadísticos o científicos.

• Se trate de datos relacionados con el registro civil de las personas. Sin perjuicio de lo anterior, Heinsohn se reserva el derecho a ejecutar actividades de tratamiento, sobre información cuya autorización no sea requerida en virtud de las disposiciones legales que reglamentan la materia, caso en el cual continúan vigentes los compromisos de la compañía frente a los Titulares.

5.8 RECOLECCIÓN DE LOS DATOS PERSONALES

Para los efectos pertinentes, es importante destacar que Heinsohn, puede utilizar cualquiera de las siguientes modalidades para la obtención de los datos sometidos a tratamiento, sin limitarse a ellos:

Formularios Físicos; Cuando acceden diligencian información personal a través de formularios o documentos físicos, encuestas dirigidas a la comunidad, formatos de asistencia a actividades, encuestas, formularios de tarifas preferenciales, etc.
Aplicativos y Formularios Virtuales; Cuando ingresan a los diferentes formularios soportados por sistemas de información y aplicaciones.
Llamadas Telefónicas; En consulta por vía telefónica se capturan datos personales, incluida la grabación de la llamada
Cámaras de Video; Cuando se encuentran en las instalaciones de Heinsohn con el propósito de velar por la seguridad de las personas y sus bienes.
Sistemas Biométricos; Cuando se registren por medio de huellas, iris u otros medios de identificación biométrica.
Sistemas Digitales de Chat; Cuando se solicita información personal a través de medios virtuales, sea un chat de servicio, aplicaciones de mensajería instantánea como el chat de Teams, WhatsApp, Telegram, LinkedIn, entre otras.

5.9 NIVEL DE INTERVENCIÓN

Por regla general, Heinsohn actúa en calidad de Responsable del tratamiento; sin embargo, atendiendo a situaciones particulares de ciertas bases de datos, las finalidades perseguidas con el tratamiento de las mismas y/o a la ejecución de ciertas obligaciones contractuales, Heinsohn podrá adquirir la calidad de Encargado del tratamiento de información personal respecto a otras bases de datos. En este último caso, se dará plena observancia al cumplimiento de los compromisos contractuales. Adicionalmente, Heinsohn se reserva la facultad de delegar ciertas actividades de tratamiento a un tercero que actuará como Encargado para que las ejecute en su nombre.

6. FINALIDADES DEL TRATAMIENTO

Heinsohn, para el desarrollo de su objeto social y el cumplimiento de diversas obligaciones legales y contractuales, de carácter interno y externo, requiere de ciertas bases de datos cuyas finalidades varían dependiendo de las características propias y la naturaleza de cada una de las bases de datos sometidas a tratamiento, según se describe a continuación:

6.1 FINALIDADES COMUNES EN TODAS LAS BASES DE DATOS

A excepción de lo expresamente dispuesto para cada una de las bases de datos en particular, las siguientes finalidades de tratamiento de información personal, son comunes a todas sus bases de datos:

• Establecer un canal de comunicación con los Titulares de los Datos Personales.

• El cumplimiento de las obligaciones legales y/o contractuales relacionadas con el desarrollo de actividades propias del objeto social de la compañía.

• Atención para el trámite de consultas, solicitudes, felicitaciones, peticiones, quejas y reclamos.

• Almacenamiento de información en archivos inactivos, cuando exista un deber legal de mantenimiento de información con posterioridad a la ejecución de las actividades o relaciones que dan origen al tratamiento, de conformidad con lo establecido en las legislaciones específicas que regulan la materia.

• Verificación y consulta de información relacionada con los Titulares, en listas y bases de datos de carácter público o privado, tanto nacionales como internacionales, relacionadas directa o indirectamente con (i) antecedentes judiciales, penales, fiscales, disciplinarios, de responsabilidad por daños al patrimonio estatal, (ii) inhabilidades e incompatibilidades, (iii) lavado de activos, (iv) financiación del terrorismo, (v) corrupción, (vi) soborno transnacional, (vii) buscados por la justicia, y en las demás bases de datos que informen sobre la vinculación de personas con actividades ilícitas de cualquier tipo.

• Adopción de medidas de control y seguridad sobre las diferentes instalaciones de la compañía y de las estaciones de peaje en las cuales Heinsohn preste sus servicios.

• Utilización de la imagen personal y/o videos donde aparezca la imagen personal del Titular, capturada por sistemas de monitoreo y/o videovigilancia dispuestos por Heinsohn en toda su infraestructura, como medio de prueba o evidencia en procesos y procedimientos judiciales, extrajudiciales, o administrativos que surta en los que la compañía sea parte o esté vinculada de cualquier forma; así como en investigaciones y procedimientos internos.

• Transferencia o Transmisión de Datos Personales de los Titulares a las personas naturales o jurídicas que ostenten la calidad de aliados estratégicos de Heinsohn o con las cuales la compañía haya celebrado o celebre acuerdos de colaboración o asociación.

• Transferencia o Transmisión de Datos Personales de los Titulares a compañías controladas o vinculadas a Heinsohn y al grupo empresarial.

6.2 FINALIDADES DE TRATAMIENTO EN LAS BASES DE DATOS

Heinsohn es una compañía cuyo objeto de conformidad con los estatutos, entre otros, es la realización de actividades de consultoría informática y actividades de administración de instalaciones informáticas, así como otras actividades de servicios informáticos. Por lo tanto, el tratamiento que realizará Heinsohn en sus bases de datos hacen referencia al conjunto de datos personales almacenados sistemáticamente atendiendo a sus finalidades. Las actividades de tratamiento que se desarrollan sobre las mismas comprenden la recolección, almacenamiento, transmisión, transferencia, consulta, verificación, uso y circulación dentro de su objeto social y en cumplimiento de obligaciones de naturaleza legal y contractual, atendiendo de forma estricta los deberes de seguridad y confidencialidad ordenados por la Ley 1581 de 2012 y el Decreto 1377 de 2013. El tratamiento de los datos personales se podrá realizar a través de medios físicos, automatizados o digitales, de acuerdo con el tipo y la forma de recolección de la información personal, con las siguientes finalidades:

A. Efectuar las gestiones pertinentes para el desarrollo del objeto social de la compañía en lo que tiene que ver con el cumplimiento del objeto del contrato celebrado con el Titular de la información.

B. Realizar invitaciones a eventos y ofrecer nuevos productos y servicios.

C. Transmitir los datos personales al interior y fuera del país a terceros con los cuales haya suscrito un contrato de procesamiento de datos y sea necesario entregársela para el cumplimiento del objeto contractual.

7. TRATAMIENTO DE LAS BASES DE DATOS

Las bases de datos de Heinsohn, hacen referencia al conjunto de Datos Personales almacenados sistemáticamente atendiendo a las finalidades para las que fueron recolectadas.

Las actividades de tratamiento que se desarrollan sobre las mismas comprenden cualquier uso que se realice con los datos personales y de manera general y sin limitarse a la recolección, almacenamiento, consulta, verificación, transmisión, transferencia y circulación en el desarrollo habitual de las actividades comprendidas dentro de su objeto social y el cumplimiento de obligaciones de naturaleza legal y contractual. Adicionalmente, en algunos casos Heinsohn podrá consultar, solicitar, suministrar, reportar, procesar y divulgar información relacionada con el comportamiento crediticio, financiero, comercial y de servicios de los Titulares, a las entidades públicas o privadas, en Colombia o en el exterior, que administren o manejen bases de datos relacionadas con el nacimiento, desarrollo, modificación, extinción y cumplimiento de obligaciones financieras, comerciales, crediticias y de servicios. Para el desarrollo de tales actividades, Heinsohn se asegurará de contar con la autorización previa expresa e informada para el desarrollo de dicha actividad de tratamiento.

7.1 ACTIVIDADES DEL TRATAMIENTO

Las referidas actividades de tratamiento podrán ejecutarse a través de correos electrónicos, documentos físicos, mensajes de texto, mensajes de datos, llamadas telefónicas (celulares o teléfonos fijos), inclusión de información en dispositivos electrónicos, digitales o medios físicos; entre otras. De acuerdo con la clasificación de los Datos Personales, establecida en el Registro Nacional de Bases de Datos Personales (RNBD), de la Superintendencia de Industria y Comercio (SIC), Heinsohn realiza tratamiento a los siguientes los Datos Personales, entendiéndose como “cualquier información numérica, alfabética, grafica, fotográfica, acústica, o de cualquier otro tipo” concerniente a personas físicas identificadas o identificables:

A. Datos generales de identificación personal: nombres, apellidos, tipo y número de identificación, fecha y lugar de expedición del documento, fecha y lugar de nacimiento, estado civil, sexo, nacionalidad.

B. Datos específicos de identificación personal: firma, firma electrónica, datos familiares, otros documentos de identificación.

C. Datos de ubicación relacionados con la actividad comercial o profesional: dirección, teléfono fijo o móvil, dirección de residencia, correo electrónico personal y/o profesional.

D. Datos financieros: crediticios económicos y patrimoniales.

E. Datos socioeconómicos: estrato de la vivienda de residencia, propiedad de vivienda, bienes e inmuebles, ingresos, egresos, inversiones, fondos, etc.

F. Datos de la actividad económica e información tributaria.

G. Datos de la historia laboral: experiencia laboral, cargos, fechas de ingreso y retiro, anotaciones, llamados de atención, reconocimientos, etc.

H. Datos del nivel educativo e historial académico de la persona.

I. Datos relacionados con la afiliación y aportes al sistema de seguridad social; EPS, ARL, IPS, AFP, AFC, etc.

J. Datos de antecedentes judiciales, disciplinarios, fiscales, etc.

K. Datos personales de acceso a sistemas de información: Usuario, IP, IMEI, Contraseñas, perfiles, etc.

L. Datos biométricos: huellas digitales, registros fotográficos, fílmicos, voz, imagen, ADN, etc.

M. Datos de la descripción morfológica: estatura, peso, tallaje (pantalón, camisa, zapatos); color de piel, color de ojos, color y tipo de cabello, señales particulares, etc.

N. Datos relacionados con su estado de salud: temperatura, resultados de pruebas de laboratorio, estudios, diagnósticos médicos, psicológicos, psiquiátricos, medicamentos, tratamientos terapéuticos.

O. Datos sobre la pertenecía a sindicatos, organizaciones sociales, de derechos humanos, convicciones religiosas, filosóficas o políticas.

P. Datos sobre población en condición de vulnerabilidad.

Q. Datos sobre personas en situación de discapacidad física o mental.

El tratamiento que Heinsohn dará a las bases de datos es el que se describe a continuación:

A. Recolectar, consultar, recopilar, evaluar, catalogar, clasificar, ordenar, grabar, almacenar, actualizar, modificar, aclarar, reportar, informar, analizar, utilizar, compartir, circularizar, suministrar, suprimir, procesar y en general tratar los Datos Personales que le suministre el Titular por cualquier medio.

B. Solicitar, consultar, verificar, validar, recopilar, compartir, intercambiar, informar, reportar, procesar, almacenar, modificar, actualizar, aclarar, retirar o divulgar por cualquier medio los Datos Personales del Titular, ante entidades de consulta de bases de datos o ante cualquier otra entidad que maneje o administre bases de datos con los fines legalmente definidos para este tipo de entidades, domiciliadas en Colombia o en el exterior, sean personas naturales o jurídicas, colombianas o extranjeras.

C. Solicitar, consultar, recopilar, evaluar, catalogar, clasificar, ordenar, grabar, compartir, intercambiar, informar, reportar, procesar, almacenar, modificar, actualizar, aclarar, retirar o divulgar por cualquier medio los Datos Personales del Titular ante cualquier sociedad en la que ésta tenga participación accionaria directa o indirectamente, con sus proveedores de servicios, aliados comerciales, usuarios de red, redes de distribución y personas que realicen la promoción de sus productos y servicios, incluidos Call-Centers, domiciliados en Colombia o en el exterior, sean personas naturales o jurídicas, colombianas o extranjeras.

D. Realizar actividades estadísticas, de atención al usuario, actividades de publicidad y convocatorias, directamente o a través de terceros, derivados de cualquier vínculo jurídico o contractual cuyo objeto sea ejercer funciones delegadas por Heinsohn conducentes al cumplimiento de su objeto social.

E. Implementar estrategias de relacionamiento con usuarios, proveedores y otros terceros con los cuales la organización tenga relaciones contractuales.

F. Gestionar trámites (peticiones, solicitudes, quejas, reclamos).

G. Realizar todas las gestiones de orden administrativa, financiera, tributaria, contable, fiscal y de facturación donde sea aplicable. Los datos que se recolecten o almacenen sobre los trabajadores, clientes y/o proveedores de Heinsohn, mediante el diligenciamiento de formatos, correo electrónico o con la entrega de documentos (hojas de vida, anexos) serán tratados para todo lo relacionado con cuestiones laborales de orden legal o contractual. En virtud de lo anterior, Heinsohn utilizará los datos personales para los siguientes fines:

1. Dar cumplimiento en lo que le aplique, a las leyes como, entre otras, de derecho laboral, seguridad social, pensiones, riesgos profesionales, cajas de compensación familiar (Sistema Integral de Seguridad Social) e impuestos;

2. Cumplir las instrucciones de las autoridades judiciales y administrativas competentes;

3. Implementar las políticas y estrategias laborales y organizacionales.

Además de lo anterior, los datos también podrán tratarse para las siguientes finalidades:

1. Ordenar, catalogar, clasificar, dividir o separar la información suministrada por los Titulares de los datos.

2. Acceder, consultar, comparar y evaluar toda la información que sobre el Titular se encuentre almacenada en las bases de datos de antecedentes judiciales, fiscales, disciplinarios o de seguridad, de naturaleza estatal o privada, nacional o extranjera, o cualquier base de datos pública o privada cuando la constitución o la ley así lo requiera.

3. Para fines de seguridad de las personas, los bienes e instalaciones de Heinsohn, podrán ser utilizados como prueba en cualquier tipo de proceso, los datos personales que sean: (i) recolectados directamente en los puntos de seguridad, (ii) tomados de los documentos que suministran los Titulares al personal de seguridad y, (iii) obtenidos de las videograbaciones que se realizan dentro o fuera de las instalaciones de Heinsohn.

4.  Transferir la información recolectada a distintas áreas del Heinsohn y vinculadas en Colombia y en el exterior cuando ello sea necesario para el desarrollo de sus operaciones y gestión de nómina (recaudo de cartera y cobros administrativo, tesorería, contabilidad, entre otros.

5. Registrar a los Titulares en los sistemas del Heinsohn y procesar sus pagos o recaudos.

7.2 TRATAMIENTO DE DATOS PERSONALES SENSIBLES

Heinsohn reconoce que ciertos datos sometidos a tratamiento revisten o pueden revestir la calidad de datos sensibles, en este orden de ideas, hemos adoptado las medidas de seguridad para que cuando los datos sometidos a tratamiento sean de aquellos definidos legalmente como sensibles:

• Reforzar el cumplimiento de los principios que regulan el tratamiento de información personal.

• En ninguna actividad se condicione al suministro de Datos Personales sensibles.

• Se obtenga la autorización expresa, informada y facultativa de los Titulares de dichos datos, antes de la ejecución de actividades de tratamiento.

• Informará al Titular que por tratarse de datos sensibles no está obligado a autorizar su tratamiento. Solo se recolectarán datos sensibles en casos estrictamente necesarios y con autorización expresa, de acuerdo con la ley.

• Dará a conocer al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, a fin de obtener su consentimiento.

7.2.1 Respecto al Tratamiento de Datos de Salud

• Los datos personales relacionados con la salud son considerados datos sensibles, razón por la cual es facultativo por parte del Titular gestionar y proporcionar esta información mediante las diferentes herramientas y canales de Heinsohn, quien sólo tratará estos datos sensibles, con el fin de:

• Ejercer control sobre el estado de salud del personal a su cargo, contratistas o usuarios (cuando aplique) con ocasión de eventos o situaciones específicas que así lo ameriten.

• Para llevar a cabo un trámite específico que así lo requiera, previa autorización expresa del Titular de la información.

• Suministrarlos cuando lo requiera una autoridad competente en ejercicio de sus funciones.

• Dar cumplimiento al protocolo de bioseguridad mandatorio por el Distrito o autoridades administrativas competentes.

7.2.2 Respecto al Tratamiento de Datos Biométricos

Con respecto del Tratamiento de datos biométricos, Heinsohn, podrá recolectar información personal biométrica como huellas, fotografías del rostro (selfie), iris, cadencias, voz, firma, reconocimiento facial o rasgos morfológicos, entre otros, (en adelante los “datos biométricos”) con el fin de permitir la identificación de los Titulares, conforme los parámetros de seguridad establecidos en la regulación, las buenas prácticas y las señaladas por las autoridades.

Estos datos biométricos son considerados por la regulación colombiana como datos sensibles. La recolección de esta información se hace en cumplimiento de obligaciones legales como la señalada en el Decreto 1413 de 2017 artículo 2.2.17.6.6, en donde regula lo concerniente a las medidas efectivas que deben ser adoptadas por Heinsohn, en cuanto a propender por la seguridad de la información. Unido a lo anterior, el Ministerio de Tecnologías de la Información y las Comunicaciones ha recomendado la implementación de la identificación biométrica como un mecanismo de seguridad de la información:

A. Las empresas deben identificar sus vulnerabilidades e implementar medidas de protección. Desarrollar una cultura de seguridad y una política de seguridad corporativa.

B. Establecer la mentalidad de que la seguridad debe ser prioridad

C. Implementar análisis de datos para proteger información confidencial (establecer maneras automatizadas para analizar y monitorear grandes volúmenes de datos)

D. Gestionar identidades y autorizaciones

E. Aprovechar las capacidades integradas de los dispositivos móviles (autenticación avanzada por medio de técnicas biométricas de reconocimiento de voz, firma y reconocimiento facial)

F. Monitoreo y evaluación continua

G. Aislar y ocultar dispositivos terminales

Heinsohn informa que no toda fotografía o huella es considerada como un dato biométrico y sensible. La Superintendencia de Industria y Comercio precisó lo anterior en el Concepto con número de radicación 17-299565-2, en donde explica que deben implementarse mecanismos y medios que permitan la autenticación unívoca del Titular. Por lo tanto, la recolección y tratamiento de huellas o imágenes que no sean consideradas como datos biométricos serán tratados conforme las finalidades generales señaladas en esta política y no le serán aplicables las disposiciones específicas sobre datos sensibles.

7.2.3 Respecto al Tratamiento de Datos de Menores de Edad

HEINSOHN, se abstendrá de manipular datos cuyo titular sea un menor de edad de conformidad con lo dispuesto en el artículo 7 de la Ley 1581 de 2012. No obstante, en el evento en que se requiera someter a Tratamiento de Datos Personales a un menor de edad, éste se regirá por las siguientes reglas:

A. Toda la información personal asociada a niños, niñas y adolescentes estará sujeta a especial protección por parte de la Compañía, y será tratada bajo medidas de seguridad adecuadas y con estricto respeto de sus derechos prevalentes.

B. La información será tratada en el desarrollo de actividades sociales, estrategias de comunicación internas o externas, así como en la ejecución de programas o campañas de Gestión Humana que tengan como propósito el desarrollo del objeto social de Heinsohn.

C. Adicionalmente, en cada tipo de tratamiento, se promoverá la compilación de términos y condiciones específicos para cada una de las actividades, definiendo sus requisitos y restricciones para el tratamiento de la información de los niños, niñas y adolescentes, tomando en consideración el interés superior y el respeto prevalente de sus derechos. Es importante que se tenga en cuenta que en el evento en que no se cuenten con los términos y condiciones particulares, se aplicarán las disposiciones contempladas en la presente política y normas especiales pertinentes que apliquen en la materia.

D. Así mismo, para los casos en que sea necesario recopilar Datos Personales de menores, por ejemplo, para la afiliación de beneficiarios al sistema de seguridad social de empleados de la compañía, la Compañía solicitará que la correspondiente autorización de tratamiento sea suscrita por los representantes legales de los menores; y siempre que sea necesario se tendrá en cuenta la opinión del menor conforme a la razonable determinación de su nivel de madurez y entendimiento del caso específico.

8. COMPROMISOS ADQUIRIDOS FRENTE A LOS TITULARES

8.1 DEBERES DE HEINSOHN EN CALIDAD DE RESPONSABLE DEL TRATAMIENTO

Heinsohn reconoce que los datos personales son de propiedad de las personas a las que se refieren y solamente ellas pueden decidir sobre los mismos. En ese sentido, Heinsohn hará uso de los datos personales recolectados únicamente para las finalidades para las que se encuentra debidamente facultado y respetando, en todo caso, la normatividad vigente sobre la protección de datos personales. En este sentido, como Responsable del uso autorizado de los datos cumplirá con los siguientes deberes:

A. Garantizar al Titular de los datos, en todo tiempo, el pleno y efectivo ejercicio de sus derechos.

B. Solicitar y conservar, copia de la respectiva autorización otorgada por el Titular.

C. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

D. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

E. Velar porque la Información que se suministre al encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.

F. Actualizar la información, comunicando de forma oportuna al Encargado del tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

G. Rectificar la información cuando sea incorrecta o parcializada y comunicar lo pertinente al Encargado del tratamiento.

H. Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado.

I. Exigir a quienes tengan la calidad de encargados del tratamiento, el respeto a las condiciones de seguridad y privacidad de la Información del titular.

J. Tramitar las consultas y reclamos formulados en los términos señalados en la ley

K. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.

L. Informar a solicitud del Titular sobre el uso dado a sus datos.

M. Informar al Superintendente Delegado para la Protección de Datos Personales, o quien haga sus veces, a la autoridad de protección de datos cuando tenga evidencia de que se han presentado violaciones a los códigos de seguridad y existan riesgos en la administración de la Información de los titulares.

N. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

O. Adoptar un manual interno de procedimientos para garantizar el adecuado Tratamiento de los datos personales.

P. Tratándose de Información objeto de controversia ante una autoridad administrativa o judicial, o que este siendo objeto de reclamo por parte del Titular, o cuyo bloqueo haya sido ordenado por la autoridad competente, Heinsohn se compromete a tomar todas las medidas pertinentes para impedir que dicha Información continúe siendo tratada, salvo lo referente al almacenamiento de esta, hasta que se tome una decisión de fondo.

Q. Los datos que hayan sido recolectados con base en la autorización de contingencias o escenarios globales de gran impacto en la salud, serán utilizados para las medidas del Sistema de Seguridad y Salud en el Trabajo, Heinsohn y serán conservados acorde con las directrices indicadas en el artículo 2.2.4.6.13 del Decreto 1072 de 2015, y las previstas por el artículo 2.2.2.25.2.8 del Decreto 1074 de 2015.

R. Garantizar que el acceso a la información personal únicamente pueda estar disponible a personas que, por su cargo, deberes y disposiciones legales, puedan tener acceso a ella.

S. Permitir el acceso a la información personal únicamente a las personas que, según las disposiciones legales, puedan tener acceso a ella.

T. Mantener un inventario actualizado de sus bases de datos.

U. Registrar sus bases de datos en el Registro Nacional de bases de datos y actualizar el referido registro, en la oportunidad legal dispuesta para tal fin.

V. Reportar los reclamos que llegaren a presentarse por parte de los Titulares de la información, en el Registro Nacional de bases de datos y en la oportunidad legal dispuesta para tal fin.

W. Informar al Superintendente Delegado para la Protección de Datos Personales, o quien haga sus veces, cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

8.2 DEBERES DE HEINSOHN EN CALIDAD DE ENCARGADO DEL TRATAMIENTO

Las obligaciones que se describen a continuación serán aplicables cuando, por razones de conveniencia, Heinsohn delegue la realización de ciertas actividades relacionadas con el tratamiento de datos a un tercero; o cuando realice actividades de tratamiento en calidad de Encargado:

A. Garantizar al Titular el pleno y efectivo ejercicio de sus derechos.

B. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

C. Realizar oportunamente la actualización, rectificación o supresión de los datos cuando así sea requerido por Heinsohn o directamente por el Titular.

D. Solicitar la certificación al Responsable del Tratamiento, de la existencia de la autorización otorgada por el titular.

E. Actualizar la Información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.

F. Tramitar los requerimientos formulados por los Titulares, tendientes a obtener el debido tratamiento de sus Datos Personales.

G. Registrar en la base de datos la leyenda “RECLAMO EN TRÁMITE” en la forma en que se regula en la Ley 1581 de 2012 o normativa vigente.

H. Insertar en la base de datos la leyenda “INFORMACIÓN EN DISCUSIÓN JUDICIAL” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.

I. Abstenerse de circular Información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.

J. Permitir el acceso a la Información únicamente a las personas que pueden tener acceso a ella.

K. Informar al Superintendente Delegado para la protección de Datos Personales, o quien haga sus veces, cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

L. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

M. Adoptar y suministrar la política de tratamiento de datos, que aseguren el debido proceso.

N. Suministrar la política de tratamiento de datos al Responsable del tratamiento.

O. Conservación de la información por el término legal que haya lugar.

8.3 OBLIGACIONES DEL ENCARGADO PARA CON EL TITULAR Y HEINSOHN

A. Dar aplicación a las obligaciones de Heinsohn, bajo la presente política de Tratamiento de la información.

B. Realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado de acuerdo con la normatividad vigente.

C. Dar Tratamiento, a nombre del Heinsohn a los Datos Personales conforme principios que los tutelan.

D. Salvaguardar e implementar las medidas necesarias de seguridad en las bases de datos que contengan Datos Personales.

E. Guardar absoluta reserva y confidencialidad respecto al tratamiento de los Datos Personales, el Encargado del tratamiento no podrá hacer uso de esta sin la debida autorización del Responsable de los datos.

8.4 CRITERIOS DE SEGURIDAD

Confidencialidad

Hace referencia a la protección de la información cuya divulgación no se encuentra autorizada. Integridad: La información debe ser precisa, coherente y completa desde su creación hasta su destrucción

Disponibilidad

La información debe estar en el momento y en el formato que se requiera ahora y en el futuro, al igual que los recursos necesarios para su uso

Efectividad

La información relevante debe ser pertinente y su entrega oportuna, correcta y consiente

Eficiencia

El procesamiento y suministro de información debe hacerse utilizando de la mejor manera posible los recursos que disponga la compañía

Confiabilidad

La información debe ser la apropiada para la administración de la entidad y el cumplimiento de sus obligaciones

8.5 OBLIGACIONES DE LOS ADMINISTRADORES DE BASES DE DATOS

A. Garantizar la recolección de la autorización de tratamiento de datos personales del Titular de la información.

B. Garantizar la conservación de la autorización para el tratamiento de datos personales suministrada por el Titular.

C. Garantizar el uso de los datos personales según las finalidades del formato de autorización.

D. Garantizar la continuidad de las responsabilidades en materia de Protección de Datos Personales frente a ausencias laborales programadas y no programadas.

E. Informar oportunamente al Oficial de Protección de Datos Personales, nuevas fuentes de recolección y almacenamiento de datos requeridos para el proceso o el área o circulación con terceros.

F. Reportar los incidentes de seguridad al Oficial de Protección de Datos Personales.

G. Diseñar e implementar planes de mitigación de riesgos, acorde a las evaluaciones de riesgo vistas con el oficial de Protección de Datos Personales.

H. Implementar medidas de seguridad apropiadas para conservar la confidencialidad de la información.

I. Informar al Oficial de Protección de Datos Personales o al área jurídica cuando este en negociación con un futuro proveedor al cual Heinsohn deba entregar bases de datos o información confidencial.

J. Suprimir los datos personales de los Titulares siguiendo los lineamientos del manual interno y la política que hayan sido autorizados.

8.6 AUDITORIAS SOBRE PROTECCIÓN DE DATOS PERSONALES

Heinsohn podrá en cualquier momento de la relación contractual con Propietarios de Bases de Datos y/o Encargados, realizar auditorías para verificar el cumplimiento de las disposiciones relativas a la protección de datos personales y en general, exigir en todo momento el respeto por las condiciones de seguridad y privacidad de la información del Titular del dato.

A. Se priorizarán aquellas áreas que por su naturaleza un alto volumen de datos personales.

B. Evaluación de apropiación sobre el Tratamiento de los Datos Personales en los funcionarios.

C. Evaluación de la efectividad de los controles.

D. Identificación de oportunidades de mejora.

E. Auditoria de cumplimiento a las políticas y procedimientos.

F. Auditoria de verificación de la efectividad de la ejecución de los procedimientos relacionados con el ejercicio al derecho de los Titulares de los datos.

G. Debida identificación y actualización del ciclo de tratamiento de la información (verificación de las finalidades del tratamiento, los canales, fuentes de recolección de información y terceros involucrados)

H. Actualización del inventario de las bases de datos (identificación y reporte oportuno de las nuevas bases de datos, actualización de las bases de datos).

8.7 SUPRESIÓN Y DISPOSICIÓN FINAL

La supresión de la información personal se realiza una vez se ha cumplido la finalidad para la cual se solicitaron los datos o en los casos en los cuales el Titular de la información solicita su eliminación, en este caso se procederá siempre cuando la ley lo autorice. Los tiempos de retención de los documentos con información personal, se sujeta a las reglas establecidas en las tablas de retención en gestión documental.

8.8 COMPROMISOS ESPECIALES

Tratándose de información objeto de controversia ante una autoridad administrativa o judicial, o que este siendo objeto de reclamo por parte del Titular, o cuyo bloqueo haya sido ordenado por la autoridad competente, Heinsohn se compromete a tomar todas las medidas pertinentes para impedir que dicha información continúe siendo tratada, salvo lo referente al almacenamiento de esta, hasta que se tome una decisión de fondo.

9. DERECHOS PARA EL TRATAMIENTO

9.1 DERECHOS DE LOS TITULARES DE LA INFORMACIÓN

De conformidad con lo establecido en las normas que regulan el tratamiento de Datos Personales, el Titular de los Datos Personales tiene los siguientes derechos:

• Conocer, actualizar y rectificar sus Datos Personales frente a la Compañía.

• Solicitar prueba de la autorización otorgada a la Compañía.

• Ser informado por la Compañía, previa solicitud, respecto al uso que se le va a dar a sus Datos Personales.

• Presentar ante la entidad competente quejas por infracciones a lo dispuesto en las normas sobre Datos Personales, una vez haya agotado el trámite de consulta o reclamo ante la Compañía.

• Salvo las excepciones de ley, revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento efectuado por la Compañía no se respeten los principios, derechos y garantías constitucionales y legales.

• Acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento.

9.1.1 LOS DERECHOS DE LOS TITULARES PODRÁN EJERCERSE POR LAS SIGUIENTES PERSONAS:

• Por el Titular.

• Por sus causahabientes, quienes deberán acreditar tal calidad.

• Por el representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento.

• Por estipulación a favor de otro o para otro.

9.1.2 DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES COMO TITULAR DEL DATO

Todos los Datos Personales relativos a los niños, niñas y adolescentes serán especialmente protegidos por la compañía y serán tratados bajo las medidas de seguridad adecuadas y con estricto respeto a sus derechos existentes. Esta información será tratada cuando se desarrollen actividades sociales, estrategias de comunicación interna o externa, y la ejecución de programas o actividades relacionadas con el manejo de medios tradicionales o digitales, que tengan como finalidad promover o desarrollar los objetivos misionales. Además, en cada tipo de tratamiento se facilitará la elaboración de términos y condiciones específicos para cada actividad, identificando sus requisitos y limitaciones al tratamiento de información de niños, niñas y jóvenes, teniendo en cuenta el interés superior y el respeto general a sus derechos. Es importante recordar que, en caso de no disponer con los términos y condiciones particulares, se aplicará a lo dispuesto en esta política y las normas especiales a las que haya lugar.

Así mismo, para los casos en que sea necesario recopilar Datos Personales de menores, por ejemplo, con propietarios de predios, actividades sociales con la comunidad o la afiliación de beneficiarios al sistema de seguridad social de empleados de la compañía, Heinsohn solicitará que la correspondiente autorización de tratamiento sea suscrita por los representantes legales de los menores de edad; y siempre que sea necesario se tendrá en cuenta la opinión del menor conforme a la razonable determinación de su nivel de madurez y entendimiento del caso específico.

10. PROCEDIMIENTOS PARA EL EFECTIVO EJERCICIO DE DERECHOS

Los Titulares de Datos Personales tratados por la Heinsohn tienen derecho a acceder a sus Datos Personales y a los detalles de dicho Tratamiento, así ́ como a rectificarlos y actualizarlos en caso de ser inexactos, o a solicitar su eliminación cuando considere que resulten ser excesivos o innecesarios para las finalidades que justificaron su obtención, u oponerse al Tratamiento de estos para fines específicos.

10.1 REGLAS GENERALES

A. En los casos en que Heinsohn realice el tratamiento de datos personales, solicitará la autorización al Titular utilizando los formatos autorizados que contiene la “Autorización para el tratamiento de datos personales”. La autorización debe ser expresa, clara, informada, consentida y previa, a la Información suministrada, lo anterior para que la autorización pueda ser objeto de posterior consulta y verificación.

B. El Tratamiento de Datos Personales podrá ser revocado, si así lo solicita el Titular a excepción de que exista alguna disposición legal o contractual.

C. Las solicitudes de eliminación de datos personales deben ser claras y específicas por parte del Titular. De no ser así, se debe solicitar la Información faltante al Titular para iniciar la gestión.

D. El Titular tiene derecho a ser informado por el Responsable del tratamiento, respecto del uso que se les ha dado a sus datos personales. (Autorización para el Tratamiento de datos personales)”

E. Los contratos de empleados, contratistas, clientes y proveedores deben tener cláusulas de protección de datos personales.

F. El Titular tiene derecho a conocer, actualizar o rectificar sus datos personales frente al Responsable del tratamiento.

10.2 LEGITIMIDAD

Los derechos de los Titulares pueden ser ejercido por las siguientes personas:

• Por el Titular.

• Por sus causahabientes, quienes deberán acreditar tal calidad.

• Por el representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento.

• Por estipulación a favor de otro o para otro.

10.3 COMPETENCIA

Para todos los asuntos relacionados con actividades de tratamiento de información personal, solución a consultas y requerimientos, Heinsohn ha designado como competente, al Oficial de Protección de Datos, tomando para este fin, medidas técnicas, humanas y administrativas que garanticen la confidencialidad y seguridad de la información.

10.4 CONSULTAS

Los Titulares de los datos, sus representantes legales, apoderados o causahabientes y demás personas que autorice la Ley, podrán realizar consultas sobre su información personal que repose en cualquier base de datos de Heinsohn, por lo cual se garantizará el derecho a la consulta y se realizarán los trámites correspondientes de manera oportuna frente a las siguientes solicitudes:

Acceso a la información

Consultar el uso de su información personal.

Las consultas deberán ser presentadas a través de los canales habilitados y siguiendo el procedimiento que se describe a continuación:

A. En cualquier momento y de forma gratuita el Titular o su representante podrán realizar consultas respecto de los datos personales que son objeto de tratamiento por parte de la compañía.

B. La consulta deberá hacerse por escrito y deberá contener la información del Titular y los datos de contacto del interesado.

C. En todos los casos se deberá validar su identidad y su facultad para realizar la consulta.

D. Cuando la consulta sea presentada por una persona diferente al Titular de la información, se debe soportar la solicitud con la siguiente información: Nombre del Titular, tipo y número de documento del Titular, dirección física o correo electrónico en la cual se pueda recibir la respuesta y los documentos que acrediten la identificación y vínculo con el Titular.

E. Descripción de los datos sobre los cuales ejerce el derecho de consulta.

F. Descripción clara y detallada de la consulta.

G. La consulta será atendida por Heinsohn en los tiempos y términos previstos en la ley vigente sobre Protección de Datos Personales.

H. Las Consultas deberán ser atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de radicación.

I. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al Interesado.

J. El término para dar respuesta podrá ser prorrogado hasta cinco (5) días hábiles adicionales, contados a partir del vencimiento del plazo inicial.

K. De igual forma, los interesados podrán en cualquier momento a través de los canales disponibles para el efecto o mediante comunicación escrita, solicitar a Heinsohn o sus vinculadas, la actualización de datos que suministre para ese efecto.

10.5 SOLICITUDES Y RECLAMOS

Los Titulares de los datos, sus representantes legales, apoderados o causahabientes y demás personas que autorice la Ley, podrán realizar solicitudes o reclamos sobre la información personal que repose en cualquier base de datos de Heinsohn, por lo cual podrá:

• Solicitar la corrección y actualización de su información personal,

• Solicitar prueba de la constancia de la autorización otorgada por el Titular,

• Solicitar la supresión del dato y la revocatoria parcial o total de la autorización otorgada Las solicitudes o reclamos deberán ser presentadas a través de los canales habilitados y siguiendo el procedimiento que se describe a continuación:

A. El reclamo se formulará mediante solicitud dirigida a Heinsohn, con la identificación del Titular, nombres, apellidos, tipo y número de documento, junto con los documentos que acrediten su Titularidad (copia del documento de identidad). La descripción de los hechos que dan lugar al reclamo, fechas de los hechos, dirección física o correo electrónico en la cual desea recibir la respuesta, además acompañando de los documentos que se quieran hacer valer.

B. Si el reclamo resulta incompleto, se informará al interesado dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la Información requerida, se entenderá que ha desistido del reclamo.

C. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

D. Cuando el reclamo sea presentado por una persona diferente al Titular de la información, se debe soportar la solicitud con la siguiente información: Nombres, apellidos, tipo y número de documento del Titular del dato, dirección física o correo electrónico en la cual desea recibir la respuesta y los documentos que acrediten la identificación y vínculo con el Titular.

E. Deberá presentar una detallada descripción de los hechos que dan lugar al reclamo de forma clara y precisa; en caso de ser necesario, aportar documentos o evidencias anexas que soporten la solicitud.

F. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo de este, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

G. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

H. Tales respuestas deberán ser remitidas a la dirección señalada por el Titular en el momento de presentar su solicitud y, en el caso que no la haya especificado, se enviará a la última dirección registrada en Heinsohn

I. Las peticiones o los reclamos serán gestionados de acuerdo con los procedimientos establecidos al interior de Heinsohn y deberá dejar copia de la respuesta como soporte de la gestión.

J. La remisión de las consultas y reclamos por parte de Heinsohn, cuanto tenga el carácter de Encargada del Tratamiento de la Información, no exime a los Responsables del Tratamiento (quienes poseen la fuente de la Información) del deber de responder al Titular por todas y cada una de las cuestiones planteadas dentro del término señalado en la ley. En tal sentido, Heinsohn, deberá informar al Titular todo lo manifestado por el Responsable del Tratamiento expresamente.

K. Todas las peticiones y reclamos deberán formularse por escrito, ya sea a través de comunicación radicada en las oficinas de la empresa, o a través de correo electrónico protecciondatos@heinsohn.com.co

L. El reclamo será atendido por Heinsohn en los tiempos y términos previstos en la ley vigente sobre Protección de Datos Personales.

M. En el evento en que la reclamación sea radicada ante un funcionario o una entidad que no sea competente para dar información, se deberá dar traslado a la entidad o funcionario competente en un término de dos (2) días hábiles. Esta información deberá ser informada al interesado.

10.5.1 DEBER DE MANIFESTAR AL ENCARGADO EL RECLAMO EN TRÁMITE.

Corresponde al área de Jurídica o al Oficial de Protección de Datos Personales, informar al Encargado del Tratamiento que determinada información se encuentra en discusión por parte del Titular para que incluya la leyenda de “Reclamo en trámite”. Si Heinsohn en su rol de Responsable del Tratamiento resuelve el reclamo presentado por el Titular dentro de los dos (2) días hábiles siguientes a la fecha de radicación, no será necesario a informar al Encargado del Tratamiento que el reporte se encuentra en discusión. Cuando la Superintendencia de Industria y Comercio comunique a Heinsohn, el inicio de una actuación administrativa o notifique la apertura de una investigación tendiente a determinar la procedencia de la eliminación, actualización o rectificación del dato de un Titular específico, éstas deberán informar al Responsable o Encargado del Tratamiento de la Información, según corresponda, dentro de los dos (2) días hábiles siguientes para que se incluya la leyenda de “Actuación administrativa o investigación en trámite”, la cual permanecerá hasta que quede en firme la decisión de la Entidad. En los casos en que el Titular reclame por suplantación de identidad, Heinsohn, deberá informar al Encargado del Tratamiento para que incluya la leyenda respectiva respecto del Titular y de la obligación u obligaciones que afectan a éste con la suplantación. En todo caso, el Responsable del Tratamiento debe adelantar el trámite correspondiente con el fin de establecer si hay indicios que lleven a eliminar el reporte de información, tanto positiva como negativa. Si como resultado del trámite se determina que no procede la eliminación de la información, el Titular podrá acudir a la Superintendencia de Industria y Comercio para que ésta se pronuncie.

10.6 CANALES DE ATENCIÓN PARA EL EJERCICIO DE DERECHOS, CONSULTAS Y RECLAMOS.

Las consultas o reclamos deberán ser dirigidas al Oficial de Protección de Datos Personales, a través de los canales oficiales para garantizar el ejercicio de los derechos, estos son:

En Bogotá D. C.:

Carrera 13 # 82 – 49 P6

Correo electrónico:

protecciondatos@heinsohn.com.co

Estos canales podrán ser utilizados por los Titulares de información o terceros autorizados por ley para actuar en su nombre y representación, con el fin de ejercer sus derechos.

10.7 MEDIDAS DE SEGURIDAD

Heinsohn adoptará todas las medidas técnicas, físicas, legales, humanas, administrativas y organizativas correspondientes que guarden relación con las leyes de privacidad y seguridad de los datos para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Si los Titulares consideran que su interacción con Heinsohn ya no es segura o se encuentra comprometida, deberán notificar inmediatamente a Heinsohn a través de los canales de atención indicados en la presente Política. Cuando Heinsohn proporcione información personal a un proveedor de servicios, éste será seleccionado cuidadosamente y deberá utilizar las medidas adecuadas para proteger la confidencialidad y seguridad de la información personal, de conformidad con lo previsto en la Política de Seguridad de la Información.

11. DISPOSICIONES FINALES

11.1 TRANSFERENCIA NACIONAL O INTERNACIONAL DE DATOS

Heinsohn transferirá información personal a terceros países, únicamente en los siguientes supuestos:

• A aquellos países que, según la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales, cuenten con un nivel adecuado de protección.

• Si el país no cuenta con niveles adecuados de protección, la transferencia solo tendrá lugar en los siguientes casos:

• Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia;

• Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable;

• Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad;

• Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular;

• Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. En los casos no contemplados Heinsohn solicitará la declaratoria de conformidad a la Superintendencia de Industria y Comercio en su Delegatura para la Protección de datos Personales, antes de proceder con la respectiva transferencia.

11.2 TRANSMISIÓN NACIONAL O INTERNACIONAL DE DATOS A ENCARGADOS

Heinsohn transmitirá información personal a terceros países, únicamente cuando se cuente con autorización previa, expresa e informada por parte del Titular. En defecto del anterior requisito, cuando Heinsohn haya suscrito de manera previa, un Contrato de transmisión de Datos Personales, con el respectivo Encargado.

11.3 VIDEOVIGILANCIA

Heinsohn utiliza sistemas de videovigilancia instalados en diferentes sitios, internos y externos, de sus instalaciones u oficinas. Heinsohn informa sobre la existencia de estos mecanismos mediante la difusión, en sitios visibles, de anuncios de videovigilancia, principalmente en los accesos peatonales y vehiculares de sus instalaciones.

La información recolectada se utilizará para fines de seguridad de las personas, los bienes e instalaciones, el cumplimiento de disposiciones legales y el cumplimiento de disposiciones contractuales. Esta información puede ser empleada como prueba en cualquier tipo de proceso ante cualquier tipo de autoridad y organización.

11.4 VIGENCIA

La presente Política regirá a partir de su aprobación por parte de la Junta Directiva.

11.4.1 PERIODO DE VIGENCIA DE LAS BASES DE DATOS

Los Datos Personales bajo la administración de Heinsohn, serán conservados durante el tiempo requerido según la finalidad del tratamiento y/o por el término que sea requerido para dar cumplimiento a una obligación legal o contractual.

11.4.2 LIMITACIONES TEMPORALES AL TRATAMIENTO DE LOS DATOS PERSONALES

Los Responsables y Encargados del Tratamiento solo podrán recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario, el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión. No obstante, lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual.

11.5 AUTORIDAD NACIONAL DE PROTECCIÓN DE DATOS

Heinsohn, velando por la efectiva protección de los Datos Personales de los Titulares cuya Información componen las Bases de Datos de Heinsohn, pone a disposición del público en general, Información relacionada con la Delegatura para la Protección de Datos Personales, autoridad competente a nivel nacional que ejerce vigilancia sobre las actividades de Tratamiento desarrolladas en el territorio nacional, que podrá ser consultada en el siguiente link:

https://www.sic.gov.co/tema/proteccion-de-datos-personales