GIOTO SAS, identificada con el NIT 901.594.817-7 y con sede principal en Bogotá D.C., ubicada en Cl 72 A Bis No. 22 42 Of 201, con número de teléfono 6018052409 y correo electrónico gioto@gioto.com.co, informa a las personas cuyos datos personales son gestionados por la empresa sobre su Política de Protección y Tratamiento de Datos.
El propósito principal de este manual es establecer procedimientos para que los titulares de datos personales puedan ejercer sus derechos, incluyendo la presentación de consultas, quejas y reclamos. La política también detalla el alcance y la finalidad del tratamiento de datos personales, asegurando su regulación y supervisión adecuadas. Busca proteger la seguridad de la información de los individuos en cumplimiento del artículo 15 de la Constitución Nacional, que garantiza el derecho a conocer, actualizar y rectificar datos personales. Aunque no restringe totalmente el tratamiento de datos, exige que se realice de manera adecuada y regulada.
La política de tratamiento de datos personales se formula en cumplimiento de los artículos 15 y 20 de la Constitución Política, y de conformidad con directrices establecidas en la Ley Estatutaria 1581 de 2012, que establece normas generales para la Protección de Datos Personales (o LPD), y el Decreto 1377 de 2013, que reglamenta este mandato.
Esta Política se aplicará a todos los individuos considerados Titulares de Datos Personales, cuyos datos sean tratados por la empresa en cualquier contexto, incluyendo bases de datos, archivos y documentos que contengan datos personales de trabajadores, clientes, contratistas, proveedores, terceros, visitantes y cualquier persona relacionada con GIOTO S.A.S. como entidad responsable del tratamiento.
En este documento, se detallan los procedimientos y actividades relacionados con el tratamiento de datos personales, asegurando que se realicen conforme a las normas y directrices regulatorias.
Esta información puede obtenerse a través de diversos canales o medios, tales como:
i) relaciones comerciales, contractuales o profesionales con clientes, proveedores u otros terceros; ii) relaciones laborales con trabajadores y extrabajadores; iii) solicitudes en procesos de selección; iv) inscripciones a capacitaciones, concursos, seminarios, talleres o cursos; v) registros y accesos a la página web de la sociedad; y
Cabe destacar que, al proporcionar cualquier tipo de información personal a GIOTO S.A.S., el titular de los datos personales acepta que dicha información será utilizada conforme a la presente política de tratamiento de datos personales.
Para efectos del presente manual, se establecen las siguientes definiciones que se encuentran establecidas en el artículo 3 de la LPD y el artículo 3 del Decreto 1377 de 2013:
Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
sino a cierto sector o grupo de personas o a la sociedad en general, como son: bases de datos que contengan Información financiera, crediticia, comercial, de servicios y la proveniente de terceros países.
Durante sus actividades comerciales, GIOTO SAS realizará la recolección, uso, almacenamiento, transmisión, transferencia y tratamiento de los Datos Personales de los Titulares, conforme a los propósitos definidos en esta Política. En cada instancia de tratamiento de datos personales, tanto los Responsables como los Encargados y los terceros que reciban estos datos deberán adherirse a los principios y normas establecidos por la Ley y esta Política. Esto se lleva a cabo para
proteger el derecho al habeas data de los Titulares y garantizar el cumplimiento de las obligaciones legales y las directrices internas de la empresa. Estos principios se fundamentan en:
Proporcionalidad: El tratamiento de los datos personales debe ser realizado de manera proporcional, garantizando que la forma en que se utilizan los datos sea coherente y razonable en relación con el propósito para el cual se obtuvieron.
Conforme al artículo 9 de la Ley 1581 de 2012, es necesario obtener la autorización previa e informada del Titular para el tratamiento de datos personales. Al aceptar esta política, cada Titular que proporcione información personal está dando su consentimiento para que GIOTO SAS trate sus datos según los términos y condiciones establecidos en la misma.
Además, GIOTO SAS se compromete a garantizar la confidencialidad, integridad y disponibilidad de los datos personales recopilados, implementando las medidas de seguridad necesarias para protegerlos contra accesos no autorizados, pérdida, alteración o divulgación indebida. Los Titulares tendrán derecho a conocer, actualizar, rectificar y solicitar la eliminación de sus datos personales, así como a revocar la autorización otorgada, de acuerdo con los procedimientos establecidos en esta política y en la legislación vigente.
La Autorización es una declaración que informa al Titular de los datos, al menos, la siguiente información:
El Responsable o Encargado de recopilar la información.
De acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012, la autorización del Titular no será necesaria cuando se trate de:
Si bien en esos casos no será necesario pedir la autorización, sí será obligatorio el cumplimiento de los demás deberes informados en la ley e indicados en este numeral.
El responsable del tratamiento de las bases de datos objeto de esta política es GIOTO SAS, con NIT 901.594.817-7, cuyos datos de contacto son los siguientes:
GIOTO SAS, en el ejercicio de sus actividades empresariales, realiza el tratamiento de datos personales de individuos naturales contenidos en diversas bases de datos, con fines legítimos y de conformidad con la Constitución y la Ley, en especial, estarán sometidos a la recolección, intercambio, actualización, procesamiento, reproducción, compilación, almacenamiento, uso, sistematización y organización.
Igualmente, se podrá entregar, transmitir o transferir a entidades públicas, socios comerciales, contratistas, aliados, subsidiarias, filiales, terceros, si se cumple con los presupuestos y finalidades establecidas en la base de datos correspondiente, previa suscripción de todos los actos o negocios jurídicos relacionados así como la autorización y consentimiento del titular.
La información de trabajadores y extrabajadores, se maneja para gestionar todos los aspectos relacionados con su situación laboral, incluyendo nómina, parafiscales, prestaciones sociales y toda la información relativa a los contratos de trabajo.
En cuanto a los clientes, los datos se utilizan para propósitos comerciales, evaluación de comportamiento y crédito comercial, así como para la gestión contable, fiscal y administrativa.
Los datos de proveedores se administran para fines comerciales, contables, fiscales y administrativos, entre otros.
Los datos de los administradores y asociados se gestionan con su actividad de dirección y relación contractual con la compañía, así como en relación con su participación y actividades dentro de la empresa.
Los Datos Personales serán tratados por la Sociedad, así como los Encargados y personas que tengan acceso autorizado de los mismos, de acuerdo con las finalidades previstas en este manual:
Las demás finalidades que determinen los Responsables en procesos de obtención de Datos Personales para su Tratamiento y que sean comunicadas a los Titulares en el momento de la recolección de los Datos Personales.
ADOLESCENTES
Según lo establecido en el artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto Reglamentario 1377 de 2013, GIOTO SAS solo llevará a cabo el tratamiento de datos relacionados con niños, niñas y adolescentes si se cumple con los siguientes requisitos:
Una vez verificado el cumplimiento de estos requisitos, GIOTO S.A.S. debe obtener la autorización del representante legal del niño, niña o adolescente, quien debe ser escuchado y su opinión valorada considerando su madurez, autonomía y capacidad para comprender el asunto.
En todo caso, para cualquier actividad educativa, pedagógica, comercial o de mercadeo que involucre a niños, niñas o adolescentes, es necesario obtener la autorización previa, expresa, informada y facultativa del representante legal, previa validación de su acreditación como representante o apoderado. La sociedad velará por el uso legal y adecuado de los datos pertenecientes a menores de edad asegurando que se respeten sus intereses y derechos fundamentales.
9. DERECHOS DE LOS TITULARES
De acuerdo con el artículo 8 de la Ley 1581 de 2012 y los artículos 21 y 22 del Decreto 1377 de 2013, los titulares de los datos personales tienen varios derechos respecto al tratamiento de sus datos. Estos derechos pueden ser ejercidos por las siguientes personas:
Los derechos de los menores de edad serán ejercidos por las personas facultadas para representarlos de acuerdo con lo establecido en el presente Manual.
Los derechos del Titular incluyen:
10. DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DE DATOS PERSONALES
Todos los obligados a cumplir esta política deben tener presente que GIOTO SAS está comprometida a cumplir con los deberes que la ley impone. Por lo tanto, se deben acatar las siguientes obligaciones:
Es importante tener en cuenta que si la solicitud no incluye la información mencionada anteriormente, GIOTO SAS puede solicitar la información faltante en un plazo máximo de cinco (5) días hábiles a partir del día siguiente a la presentación de la solicitud. El titular de los datos tendrá diez (10) días hábiles, contados a partir de la recepción de esta solicitud, para proporcionar la información requerida. Si no se cumple con este plazo, se considerará que la solicitud no ha sido presentada.
Una vez que la solicitud ha sido presentada y cumple con los requisitos establecidos,
GIOTO SAS deberá cumplir con lo siguiente:
La empresa tiene un plazo de veinte (20) días hábiles, contados a partir del día siguiente a la recepción de la solicitud, para informar al titular si procede o no el ejercicio del derecho solicitado. En casos excepcionales, este plazo puede extenderse una sola vez hasta un máximo de diez (10) días adicionales, si existen circunstancias que lo justifiquen.
Si se determina que procede el ejercicio del derecho, la empresa debe realizar las acciones necesarias para hacerlo efectivo dentro de un plazo de quince (15) días hábiles, contados a partir del día siguiente a la notificación de la respuesta anterior.
Aunque no proceda el ejercicio del derecho solicitado, la empresa debe responder al titular explicando las razones de la improcedencia dentro del plazo de veinte (20) días hábiles mencionado anteriormente.
Las bases de datos en archivos físicos serán custodiadas bajo estrictas medidas de seguridad y tendrán restricciones de acceso, permitiendo solo al personal autorizado gestionar y conceder permisos, ya sea de manera escrita o verbal, para su procesamiento. El personal no autorizado no podrá manipular estas bases de datos en ningún caso.
Las bases de datos electrónicas estarán resguardadas en herramientas tecnológicas, como carpetas y servicios en la nube, con acceso restringido mediante claves de seguridad. Solo el personal autorizado podrá administrarlas y otorgar permisos para su procesamiento, ya sea de manera escrita o verbal. Se prohíbe terminantemente que personas no autorizadas traten estas bases de datos.
Todos los colaboradores y proveedores de GIOTO SAS están comprometidos a mantener la confidencialidad absoluta de cualquier información manejada en la empresa. Esto se aplica a toda la información relacionada con clientes, proveedores, empleados, aspirantes a empleo, clientes potenciales y otros titulares de datos, excepto cuando sea necesario compartir, enviar, comunicar, transferir, transmitir o revelar la información con fines autorizados expresamente por los titulares en relación con los servicios de representación, consultoría y asesoría proporcionados por la empresa.
La confidencialidad de los datos personales se mantendrá incluso después de finalizar la relación entre un cliente, trabajador o proveedor y GIOTO SAS. Una vez que se cumpla el objetivo para el cual se usaron datos personales específicos, estos deberán ser eliminados de las bases de datos de la empresa.
a. Medidas de seguridad comunes Gestión de documentos y soportes
En el inventario de documentos y soportes se especifican los recursos que contienen las bases de datos.
Los usuarios autorizados, son responsables de garantizar que solo ellos puedan acceder a los documentos y soportes que contienen datos personales, evitando el acceso de personas no autorizadas.
Es crucial que los documentos y soportes clasifiquen los datos según su tipo de información, sean incluidos en el inventario correspondiente y estén accesibles únicamente para el personal autorizado. En casos donde las características de los documentos impidan esta identificación, se debe justificar debidamente en el registro de entrada y salida de documentos, así como en el Manual Interno de Seguridad.
Los documentos y soportes que contengan datos personales sensibles deben ser identificados mediante sistemas de etiquetado comprensibles y significativos, diseñados para que los usuarios autorizados puedan identificar su contenido, mientras dificultan esta identificación para personas no autorizadas.
La salida de documentos y soportes que contengan datos personales de los locales bajo el control del responsable del tratamiento requiere autorización expresa por parte de este último. Este requisito también aplica a los documentos o soportes adjuntos y enviados por correo electrónico.
Control de acceso
El acceso del personal de GIOTO SAS a datos y recursos está limitado exclusivamente a aquellos necesarios para cumplir con sus funciones específicas, conforme a la autorización otorgada por el responsable del tratamiento según las directrices establecidas en este manual.
GIOTO SAS gestiona una lista actualizada de usuarios, perfiles de usuarios y los accesos autorizados correspondientes para cada uno de ellos. Para garantizar la seguridad y protección de los datos, implementa mecanismos que impiden el acceso a información por parte de usuarios no autorizados. En el caso de soportes informáticos, esto puede incluir la asignación de contraseñas, mientras que para documentos físicos se utilizan llaves u otros dispositivos de apertura en los dispositivos de almacenamiento.
La modificación de datos o información, así como la gestión de concesiones, alteraciones, inclusión o anulación de accesos autorizados y usuarios en la lista mencionada, es responsabilidad exclusiva del personal autorizado.
Cualquier individuo externo a GIOTO SAS que tenga acceso legal y autorizado a los recursos protegidos estará sujeto a las mismas condiciones de seguridad y obligaciones que el personal interno.
Responsable de seguridad
GIOTO SAS ha designado a un responsable de seguridad encargado de coordinar y supervisar las medidas de seguridad descritas en este manual. Este mismo responsable también se encarga de la seguridad de las bases de datos sensibles y no automatizadas, cuyos detalles se especifican en el numeral 6 del presente documento.
Es importante destacar que, conforme a la normativa sobre protección de datos, la designación de responsables de seguridad no exime de responsabilidad al responsable del tratamiento o al encargado del tratamiento.
Auditorías
Las bases de datos que contengan datos personales y estén bajo tratamiento por GIOTO SAS, clasificadas con nivel de seguridad sensible o privado, deben ser sometidas, al menos cada dos años, a una auditoría interna o externa. Esta auditoría tiene como objetivo verificar el cumplimiento de las medidas de seguridad establecidas en este manual.
La auditoría cubrirá tanto los sistemas de información como las instalaciones utilizadas para el almacenamiento y tratamiento de datos.
Ciberseguridad
La ciberseguridad abarca un conjunto completo de políticas, conceptos de seguridad, recursos, controles de seguridad, directrices, métodos de gestión del riesgo, acciones, investigación, desarrollo, formación y buenas prácticas. Estas están diseñadas para prevenir y proteger los datos, sistemas y aplicaciones, salvaguardando a los consumidores financieros y los activos de la entidad en el ciberespacio. Todo esto se realiza manteniendo los principios básicos de la Seguridad de la Información.
Aspectos clave de la ciberseguridad incluyen:
Estas prácticas son esenciales para garantizar la protección de la información sensible, mantener su confidencialidad, integridad y disponibilidad, y fortalecer la seguridad y confianza en todas las operaciones digitales de la entidad.
GIOTO SAS ha definido los siguientes objetivos en materia de Seguridad de la Información y Ciberseguridad:
De acuerdo con lo establecido en la Ley 1581 de 2012, GIOTO SAS podrá enviar datos personales a Responsables que se encuentren fuera del territorio nacional. De ocurrir, dicha comunicación de datos se efectuará para las mismas finalidades informadas en este documento y deberá ser previa y expresamente informado al Titular en la autorización.
De conformidad con el artículo 26 de la Ley 1581 de 2012 y la Circular V de 2017 de la Superintendencia de Industria y Comercio, GIOTO SAS debe verificar que la transferencia se realice a países que cumplan con un nivel adecuado de protección de datos personales. Si GIOTO SAS pretende suscribir un contrato u otro instrumento negocial para realizar la transferencia internacional de datos personales a países que no se encuentren en la lista de países que no cuentan con un nivel adecuado de protección de datos personales, deberá adelantar el procedimiento indicado en el numeral 3.3 del Título V de la Circular Única de la Superintendencia de Industria y Comercio para solicitar su Declaración de Conformidad para la transferencia de datos personales. En desarrollo de dicho procedimiento, GIOTO SAS deberá presentar la información requerida de acuerdo con la Guía proferida por
la Superintendencia de Industria y Comercio, con el fin de verificar el cumplimiento de los siguientes requisitos:
La prohibición de realizar transferencia internacional de datos personales a países que no cumplan con un nivel adecuado de protección de datos no regirá cuando la operación esté comprendida dentro de alguna de las excepciones establecidas en el artículo 26 de la Ley 1581 de 2012, así:
De acuerdo con el parágrafo del artículo 3.3 del Título V de la Circular Única de la Superintendencia de Industria y Comercio, cuando GIOTO SAS, como Responsable, suscriba un contrato con el Responsable del Tratamiento destinatario de los datos o implemente otro instrumento jurídico mediante el cual señalen las condiciones que regirán la transferencia internacional de datos personales y mediante las cuales garantizarán el cumplimiento de los principios que rigen el tratamiento, así como de
las obligaciones que tienen a cargo, se presumirá que la operación es viable y que cuenta con Declaración de Conformidad.
En tal caso, GIOTO SAS podrá realizar la transferencia internacional de datos personales a los Responsables del Tratamiento, previa comunicación remitida a la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, mediante la cual informe sobre la operación a realizar y declare que han suscrito el contrato de transferencia u otro instrumento jurídico que garantice la protección de los datos personales objeto de transferencia, lo cual podrá ser verificado en cualquier momento por la Superintendencia y, en caso de que se evidencie un incumplimiento, podrá adelantar la respectiva investigación e imponer las sanciones que correspondan y ordenar las medidas a que haya lugar.
14. TRANSMISIÓN INTERNACIONAL DE DATOS PERSONALES
GIOTO SAS puede realizar la comunicación de datos personales a terceros ubicados fuera del territorio nacional con el fin de que estos, como Encargados, realicen su tratamiento, por cuenta de GIOTO SAS, en su calidad de Responsable.
Dichas transmisiones internacionales de datos personales no requerirán ser informadas al Titular ni contar con su consentimiento cuando exista un contrato en los términos del artículo 2.2.2.25.5.2 del Decreto Único 1074 de 2015 o en aquellos casos en los que la operación esté cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio.
El contrato que GIOTO SAS suscriba con los Encargados que se encuentren fuera de Colombia, deberá señalar:
En dicho contrato el Encargado se debe comprometer a cumplir las obligaciones del Responsable de acuerdo con esta Política de Tratamiento de Datos Personales y a realizar el tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y las normas aplicables. Adicionalmente, el contrato deberá contener las siguientes obligaciones:
15. MODIFICACIÓN
GIOTO SAS se reserva el derecho de modificar este manual y sus políticas según sea necesario para su operación y cumplimiento normativo. Sin embargo, si hay modificaciones significativas en la política de Tratamiento de Datos Personales, se informará la versión actualizada mediante medios de comunicación utilizados por la compañía.