La protección de datos personales es un derecho fundamental consagrado en el artículo 15 de la Constitución Política de Colombia, el cual tienen todas las personas para conservar su intimidad personal, familiar y su buen nombre, así como de conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos o archivos, en concordancia con el derecho a la información consagrado en el artículo 20 de la misma.
Con el propósito de garantizar la seguridad y privacidad de los datos, se hace necesario definir la política aplicable a CROMASOFT SAS, la cual contiene los lineamientos con los que la empresa gestionará cualquier actividad que implique el tratamiento de los datos personales que esta recolecte o que sean trasladados por otras autoridades.
La aplicación de los lineamientos establecidos por la presente política será de carácter obligatorio para todas las personas naturales o jurídicas que realicen algún tratamiento a los datos personales registrados dentro de las bases de datos de CROMASOFT SAS.
Establecer los lineamientos para dar cumplimiento a la Ley Estatutaria 1581 de 2012, Decreto 1074 de 2015 y demás normas complementarias, en la cual se dictan disposiciones generales para la Protección de Datos Personales y para la gestión en materia de tratamiento de datos personales.
La presente política es aplicable a todas las bases de datos y archivos, tanto físicas como digitales, que contengan información y/o datos personales y que sean objeto de tratamiento por parte de CROMASOFT SAS, considerada como responsable del tratamiento de estos, en cumplimiento a lo establecido por la Ley, incluyendo aquella información que fue obtenida o recolectada con anterioridad a la Ley 1581 de 2012.
En el desarrollo, interpretación y aplicación de la Ley 1581 de 2012 por la cual se dictan disposiciones generales para la protección de datos personales y las normas que la complementan, modifican o adicionan, se aplicarán de manera armónica e integral los siguientes principios rectores:
CROMASOFT SAS respetará en todo momento los derechos de los titulares de Datos Personales que son:
El tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, y cuando dicho tratamiento cumpla con los siguientes parámetros y/o requisitos:
Cumplidos los anteriores requisitos, el representante legal de los niños, niñas o adolescentes otorgará la autorización.
Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
Estos medios se pueden manifestar (i) de manera oral, (ii) de manera escrita, o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. Un ejemplo de la última es el ingreso al edificio de CROMASOFT SAS, sabiendo que su imagen será captada por nuestro sistema de videovigilancia.
Para todos los efectos, se entiende que la autorización por parte de los titulares a favor de CROMASOFT SAS, para el suministro y/o tratamiento de sus datos personales, realizada a través de sus sitios web o por medio de cualquier canal adicional, físico, telefónico, electrónico, o personal, implica el entendimiento y la aceptación plena del uso que se le dará a sus datos personales, y de manera voluntaria, el titular y/o sus representantes, según sea el caso, le concede(n) a CROMASOFT SAS, su autorización para que utilice dicha información personal conforme a las estipulaciones informadas al momento de recoger la autorización.
No será necesaria la autorización del Titular cuando se trate de:
El no requerir la autorización previa no eximirá al Responsable o Encargado el cumplir con las disposiciones contenidas en la Ley 1581 de 2012 y demás normas concordantes y vigentes.
CROMASOFT SAS, en el desarrollo de su actividad empresarial, lleva a cabo el tratamiento de datos personales relativos a personas que están contenidos y son tratados en bases de datos destinadas a finalidades legítimas, cumpliendo con la Constitución y la Ley. Los datos personales serán tratados de acuerdo con los grupos de interés y en proporción a la finalidad o finalidades que tenga cada tratamiento, como se presenta en la siguiente tabla (Tabla I).
| Base de datos | Finalidad |
|---|---|
| Hijos De Funcionarios | Recopilar información confiable para determinar beneficio a hijos de los trabajadores. Subsidio educativo para hijos de trabajadores oficiales y actividades recreativas para hijos de los servidores de la empresa. |
| Empleados | Recopilar información confiable para realizar diferentes transacciones propias del área. Para información sobre los empleados, salarios, impuestos y beneficios, para la generación de las nóminas, seguridad y salud en el trabajo, beneficios convencionales, bienestar, capacitación, registro biométrico para el control de horario. |
| Exfuncionarios | Expedir certificados laborales, bonos pensionales y verificación de pagos. Guardar información confiable especialmente para tema de certificados laborales, bonos pensionales y verificación de pagos. |
| Visitantes | Gestionar los datos de las personas que acceden a una de las dependencias de la empresa. |
| Proveedores | Gestionar los datos de los Contratistas de la empresa, facturación, contratación, análisis, evaluaciones y selección de proveedores y/o contratistas potenciales, controles y seguimiento, consultas, auditorias y revisiones. |
| Compradores | Contar con información relacionada con los clientes de la página Web de CROMASOFT SAS relacionada con las compras que realizan a través de la página Web. |
| Distribuidores | Contar con información relacionada con los distribuidores de CROMASOFT SAS relacionada con los contratos entre las partes, además de las sucursales con que cuenta. |
| Ganadores de premios | Gestionar todo lo relativo con los datos personales con el proceso de pago de premios a ganadores, el reporte de dichos datos a entes de control y los datos asociados con la georreferenciación. Tesorería captura la información para cargarla al sistema computarizado de la empresa, una vez cargada esta información únicamente nos queda la responsabilidad de custodiar los documentos que quedan en nuestro poder. |
CROMASOFT SAS, podrá transferir y transmitir los datos personales a terceros con quienes tenga relación operativa que le provean de servicios necesarios para su debida operación, o de conformidad con las funciones establecidas a su cargo en las Leyes.
En dichos supuestos, se adoptarán las medidas necesarias para que las personas que tengan acceso a sus datos personales cumplan con la presente Política y con los principios de protección de datos personales y obligaciones establecidas en la Ley.
En todo caso, cuando Cromasoft transmita los datos a uno o varios encargados ubicados dentro o fuera del territorio de la República de Colombia, establecerá cláusulas contractuales o celebrará un contrato de transmisión de datos personales en el que indicará:
En caso de transferencia se dará cumplimiento a las obligaciones estipuladas en la Ley 1581 de 2012, Decreto 1074 de 2015 y normas reglamentarias.
De acuerdo con el Título VIII de la Ley 1581 de 2012, se prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente Ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de:
En los casos no contemplados como excepción, corresponderá a la Superintendencia de Industria y Comercio SIC proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. El Superintendente está facultado para requerir información y adelantar las diligencias tendentes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación.
El Responsable del tratamiento de las bases de datos objeto de esta política es CROMASOFT SAS, cuyos datos de contacto son los siguientes: • Dirección: Calle 106 No 54-78 Oficina 403 - Bogotá • Domicilio: Bogotá - Colombia • Correo electrónico: contacto@cromasoft.com • Sitio web: https://cromasoft.com/ • Teléfono:601 271 37 63
Sin perjuicio de lo contenido en la Ley, los deberes de CROMASOFT SAS, en calidad de responsable del tratamiento, son los siguientes:
Los Encargados del Tratamiento, y en el evento en el cual CROMASOFT SAS actúe como Encargada, deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la Ley y en otras que rijan su actividad:
CROMASOFT SAS y/o los Encargados, garantizan a los titulares de datos personales contenidos en sus bases de datos o a sus causahabientes o personas autorizadas, el derecho de consultar toda la información que esté vinculada con su identificación conforme se establece en la presente Política de Tratamiento de Datos Personales. El titular podrá ejercer sus derechos siguiendo el procedimiento descrito en los puntos posteriores.
El Oficial de Protección de Datos Personales de CROMASOFT SAS, será el encargado de la atención de peticiones y consultas en los términos, plazos y condiciones establecidos en la Ley 1581 de 2012, Decreto 1074 de 2015 y en las presentes políticas.
Según el artículo 2.2.2.25.4.2 del Decreto 1074 de 2015, el Titular podrá consultar de forma gratuita sus datos personales en dos casos:
Para consultas cuya periodicidad sea mayor a una por cada mes calendario, CROMASOFT SAS, solamente podrá cobrar al Titular gastos de envío, reproducción y, en su caso, certificación de documentos. Los costos de reproducción no podrán ser mayores a los costos de recuperación del material correspondiente. Para tal efecto, el responsable deberá demostrar a CROMASOFT SAS, cuando ésta así lo requiera, el soporte de dichos gastos.
El Titular de los datos puede ejercer el derecho de acceso o consulta de sus datos mediante un escrito dirigido a CROMASOFT SAS, enviado mediante correo electrónico a contacto@cromasoft.com, indicando en el Asunto “Ejercicio del derecho de acceso o consulta”, o a través de correo postal remitido a la dirección: Calle 106 No. 54 - 78 Oficina 403 .
La solicitud deberá contener los siguientes datos
El Titular podrá elegir una de las siguientes formas de consulta de la base de datos para recibir la información solicitada
Una vez recibida la solicitud, CROMASOFT SAS, resolverá la petición de consulta en un plazo máximo de diez (10) días hábiles contados a partir de la fecha de recibo de esta. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
El Titular de los datos puede ejercer los derechos de reclamo sobre sus datos mediante un escrito dirigido a CROMASOFT SAS, enviado mediante correo electrónico a contacto@cromasoft.com, indicando en el Asunto “Ejercicio del derecho de acceso o consulta”, o a través de correo postal remitido a la dirección: Calle 106 No. 54-78 Oficina 403 – Bogotá D.C.
La solicitud deberá contener los siguientes datos:
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Una vez recibido el reclamo completo, se incluirá en la base de datos una Leyenda que diga “reclamo en trámite” y el motivo de esta, en un término no mayor a dos (2) días hábiles. Dicha Leyenda deberá mantenerse hasta que el reclamo sea decidido.
CROMASOFT SAS, atenderá el reclamo en un plazo máximo de quince (15) días hábiles contados a partir de la fecha de recibo.
Cuando no fuere posible atender al reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Cuando el titular realice la solicitud de supresión de sus datos personales de la base de datos, CROMASOFT SAS procederá a realizar la revisión de la solicitud, y a realizar la supresión de tal forma que sea imposible realizar la recuperación de la información. Sin embargo, si en la revisión de la solicitud se determina que no es posible eliminar la información, debido a que se requiere conservar esta información por el cumplimiento de deberes legales de la empresa, se le informará al titular esta decisión y se procederá a minimizar el tratamiento de la información para cumplir con estos deberes.
CROMASOFT SAS realizará programas de capacitación y concientización en temas de tratamiento de datos personales y protección de la información de forma anual. Estos programas de capacitación deben tener un alcance completo de los trabajadores de la empresa y deben incluir una evaluación donde se califique el conocimiento en estos temas.
Adicionalmente, se realizarán campañas de concientización en tratamiento de datos personales y protección de la información por parte de la Oficina de Protección de Datos y la Unidad de Seguridad de la Información de manera periódica por medio del correo institucional,
CROMASOFT SAS realizara procesos de revisión o auditorías en materia de protección de datos personales verificando que las políticas y procedimientos se estén realizando de manera adecuada dentro de la empresa. Seguido a esto se procederá a implementar planes de mejoramiento de acuerdo con los resultados encontrados. Estos procesos se realizarán de manera anual, o ante orden de la Gerencia General.
El sitio web oficial de CROMASOFT SAS es: • https://cromasoft.com Adicionalmente, las redes sociales donde tenga presencia: facebook, instagram, youtube
CROMASOFT SAS, con el fin de cumplir con el principio de seguridad consagrado en el literal g) del artículo 4 de la Ley 1581 de 2012, ha implementado medidas técnicas, humanas y administrativas necesarias para garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Por otra parte, CROMASOFT SAS, mediante la suscripción de los correspondientes contratos de transmisión, ha requerido a los encargados del tratamiento con los que trabaje la implementación de las medidas de seguridad necesarias para garantizar la seguridad y confidencialidad de la información en el tratamiento de los datos personales.
A continuación, se exponen las medidas de seguridad implementadas por CROMASOFT SAS con base en lo definido en el manual de políticas de seguridad de la información.
Tabla II. Medidas de seguridad comunes para todo tipo de datos (públicos, personales, sensibles) según el tipo de bases de datos
| Bases de datos no automatizadas | Bases de datos automatizadas | |||
|---|---|---|---|---|
| Archivo | Almacenamiento de documentos | Custodia de documentos | Identificación y autenticación | Telecomunicaciones |
| 1. Archivo de documentación siguiendo procedimientos que garanticen una correcta conservación, localización y consulta y permitan el ejercicio de los derechos de los Titulares. | 1. Dispositivos de almacenamiento con mecanismos que impidan el acceso a personas no autorizadas. | 1. Deber de diligencia y custodia de la persona a cargo de documentos durante la Revisión o tramitación de los mismos. |
1. Identificación personalizada de usuarios para acceder a los
sistemas de información y verificación de su autorización. 2. Mecanismos de identificación y autenticación; Contraseñas: asignación, caducidad y almacenamiento cifrado. | 1. Acceso a datos mediante redes seguras. |
Tabla III. Medidas de seguridad comunes para todo tipo de datos (públicos, semiprivados, privados, sensibles) y bases de datos (automatizadas, no automatizadas)
| Gestión de documentos y soportes | Control de acceso | Incidencias | Personal | Manual de Políticas de Seguridad de la Información |
|---|---|---|---|---|
|
1. Medidas que eviten el acceso indebido a la recuperación de
los datos que han sido descartados, borrados o destruidos. 2. Acceso restringido al lugar donde se almacenan los datos. 3. Autorización del responsable para la salida de documentos o soportes por medio físico o electrónico. 4. Sistema de etiquetado o identificación del tipo de información. 5. Inventario de soportes. |
1. Acceso de usuarios limitado a los datos necesarios para el
desarrollo de sus funciones. 2. Lista actualizada de usuarios y accesos autorizados. 3. Mecanismo para evitar el acceso a datos con derechos distintos de los autorizados. 4. Concesión, alteración o anulación de permisos por el personal autorizado. |
1. Registro de incidencias: tipo de incidencia, momento en que
se ha producido, emisor de la notificación, receptor de la
notificación, efectos y medidas correctoras. 2. Procedimiento de notificación y gestión de incidencias. |
1. Definición de las funciones y obligaciones de los usuarios
con acceso a los datos. 2. Definición de las funciones de control y la autorización es delegada al responsable del tratamiento. 3. Divulgación entre el personal de las normas y las consecuencias del incumplimiento de las mismas. |
1. Elaboración e implementación del Manual de obligado
cumplimiento para el personal. 2. Contenido mínimo: ámbito de aplicación, medidas y procedimientos de seguridad, funciones y obligaciones del personal, descripción de las bases de datos, procedimiento ante incidencias, procedimiento de copias y recuperación de datos, medidas de seguridad para el transporte, destrucción y reutilización de documentos, identificación de los encargados del tratamiento. |
Tabla IV. Medidas de seguridad para datos privados según el tipo de bases de dato
| Bases de datos no automatizadas | Bases de datos automatizadas | |||||
|---|---|---|---|---|---|---|
| Auditoría | Responsable de Seguridad | Manual Interno de Seguridad | Gestión de Documentos y soportes | Control de acceso | Identificación y autenticación | Incidencias |
|
1. Auditoría ordinaria (interna o externa) cada dos meses. 2. Auditoría extraordinaria por modificaciones sustanciales en los sistemas de información. 3. Informe de detección de deficiencias y propuestas de correcciones. 4. Análisis y conclusiones del responsable de seguridad y del responsable del tratamiento. 5. Conservación del Informe a disposición de la autoridad. |
1. Designación de uno o varios responsables de seguridad. 2. Designación de uno o varios encargados del control y la coordinación de las medidas del Manual Interno de Seguridad. 3. Prohibición de delegación de la responsabilidad del tratamiento en el responsable de seguridad. | 1. Controles periódicos de cumplimiento. | 1. Registro de entrada y salida de documentos y soportes: fecha, emisor y receptor, número, tipo de información, forma de envío, responsable de la recepción o entrega. | 1. Control de acceso al lugar o lugares donde se ubican los sistemas de información. | 1. Mecanismo que limite el número de intentos reiterados de acceso no autorizados. |
1. Registro de los procedimientos de recuperación de los
datos, donde se ejecuta, datos restaurados y datos grabados
manualmente. 2. Autorización del responsable del tratamiento para la ejecución de los procedimientos de recuperación. |
Las áreas donde se ejecutan procesos relacionados con información confidencial o restringida deben contar con controles de acceso que sólo permitan el ingreso a los colaboradores autorizados y que permita guardar la trazabilidad de los ingresos y salidas.
CROMASOFT SAS con un sistema de cámaras de videovigilancia que tienen como finalidad dar cumplimiento a las políticas de seguridad física de la empresa. Al ingresar al edificio de la empresa, se puede observar un aviso donde se notifica la existencia de este sistema y se busca obtener la autorización por medio de conducta inequívoca para la grabación del titular.
Las imágenes serán conservadas por un periodo de 15 días. En caso de que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, esta será conservada hasta el momento en que el incidente sea resuelto
Con el fin de apoyar las medidas de control en el conocimiento de las personas naturales y jurídicas, CROMASOFT SAS podrá consultar diversas fuentes de información públicas, como buena práctica.
Adicionalmente, CROMASOFT SAS podrá solicitar información para la identificación de personas naturales o jurídicas con las que establezca o mantenga relaciones contractuales o legales, en los ámbitos público o privado, tendientes a conocer y entender mejor la fuente, naturaleza, características, uso o costumbre o área geográfica de sus operaciones.
La información que se recaude será utilizada para los controles establecidos por CROMASOFT SAS, para mitigar el riesgo de Lavado de Activos, la Financiación del Terrorismo y la Financiación de la Proliferación de Armas de Destrucción Masiva LA/FT/FPADM.
Las transmisiones internacionales de datos personales que se efectúen entre un responsable y un encargado para permitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento, siempre que exista un contrato de transmisión de datos personales.
Las Bases de Datos de CROMASOFT SAS, tendrán el periodo de vigencia que corresponda a la finalidad para el cual se autorizó su tratamiento y de las normas especiales que regulen la materia, así como aquellas normas que establezcan el ejercicio de las funciones legales asignadas a la empresa.
Cuando algún servidor público y/o contratista de CROMASOFT SAS evidencie violaciones a los lineamientos de seguridad establecidos en esta política informará al Oficial de Protección de Datos Personales, quien analizará la información y de corroborar la violación a los lineamientos de seguridad, informará de manera escrita a la Superintendencia de Industria y Comercio, dándole trámite a las gestiones necesarias para el debido manejo de la información contenida en la base de datos vulnerada.
De conformidad con el artículo 25 de la Ley 1581 de 2012 y sus decretos reglamentarios, CROMASOFT SAS registrará sus bases de datos junto con la presente política de tratamiento de Datos Personales, en el Registro Nacional de bases de datos administrado por la Superintendencia de Industria y Comercio, de conformidad con el procedimiento establecido para el efecto.
Las dependencias de CROMASOFT SAS pueden proponer mejoras a la presente política, así como el área de control interno puede ejecutar las revisiones que estime conveniente de la presente política, a partir del año en que la misma entre en vigencia, o cada vez que se considere necesario.
Las desviaciones y excepciones que puedan existir deben ser autorizadas por el Comité Institucional de Gestión y Desempeño CIGYD.
Cualquier contravención u omisión de las políticas aquí descritas serán objeto de sanción.
La presente política comenzará a regir a partir de la fecha de publicación en la página web. Adicionalmente, se realizarán publicaciones en las carteleras de la empresa y se remitirán boletines informativos vía correo electrónico institucional y/o memorando interno.