Políticas de tratamiento de datos personales
ALCANCE
Dada la importancia de implementar controles y medidas preventivas que garanticen transparencia y, eviten situaciones que puedan involucrar a NEXTSTOP en actividades ilícitas que afectarían su cadena de valor, la confianza de los asociados de negocios, la integridad y reputación de la empresa, se procede a adoptar una política complementaria a la normativa nacional e internacional existentes, tendiente al manejo adecuado de datos personales recolectados en la base de datos y documentos sensibles.
Conforme con lo anterior y teniendo en cuenta la normativa vigente, NEXTSTOP ha decidido implementar la presente política para prevenir riesgos en el trato y protección de datos personales, la cual debe ser cumplida y acatada por los órganos directivos, colaboradores, clientes, proveedores y demás partes interesadas, cualquiera que sea el cargo, funciones, operaciones o lugar donde estas se lleven a cabo.
OBJETIVO
La presente política pretende definir y aplicar los lineamientos, controles y acciones necesarias para proteger a NEXTSTOP y sus partes interesadas en el riesgo sobre el tratamiento y protección de datos personales.
DEFINICIONES
- Autorización: Consentimiento previo, expreso e informado del titular de los datos personales para llevar a cabo el tratamiento de datos personales.
- Aviso de privacidad: Comunicación verbal o escrita generada por el responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento que se pretende dar a los datos personales.
- Base de datos: Conjunto organizado de datos personales que sea objeto de Tratamiento.
- Dato personal: Cualquier información vinculada o que pueda asociarse a una o a varias personas naturales determinadas o determinables. Debe entonces entenderse el “dato personal” como una información relacionada con una persona natural (persona individualmente considerada).
- Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
- Dato personal público: Toda información personal que es de conocimiento libre y abierto para el público en general.
- Dato personal privado: Toda información personal que tiene un conocimiento restringido, y en principio privado para el público en general.
- Dato semiprivado: Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.
- Dato sensible: Aquel dato que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos, entre otros, la captura de imagen fija o en movimiento, huellas digitales, fotografías, iris, reconocimiento de voz, facial o de palma de mano, etc.
- Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
- Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el Tratamiento de los datos.
- Titular: Persona natural cuyos datos personales sean objeto de Tratamiento.
- Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es responsable del tratamiento y se encuentra dentro o fuera del país.
- Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.
- Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
RESPONSABILIDAD
La Gerencia General es la encargada de aprobar, promover la aplicación de los lineamientos y proporcionar los recursos adecuados que garanticen el cumplimiento de la presente política.
TRATAMIENTO AL CUAL SE SOMENTES
Recolección: NEXTSTOP recolecta información personal a través de diversos medios en el desarrollo de las diferentes actividades relacionadas con su objeto social y las obligaciones que tiene como empleador. La información personal será obtenida de tres formas diferentes:
- Directamente del titular.
- De un tercero siempre y cuando este cuente con la autorización.
- De fuentes públicas de información.
Así mismo la recolección de información personal podrá llevarse a cabo a través de medios físicos, digitales o electrónicos y en cada uno de ellos se incorporará un aviso de privacidad y autorización, dando así cumplimiento a los requisitos establecidos en el art. 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto 1074 y obedeciendo los principios de libertad y finalidad del art. 4 de la Ley 1581.
Almacenamiento: El almacenamiento de la información personal contenida en las bases de datos o sistemas de información se encuentra en los servidores propios dentro del país y en servidores externos de terceros, los cuales cuentan con medidas de seguridad física, técnicas y administrativas. Cuenta con controles de acceso a la información, garantizando el principio de acceso y circulación restringida. La información personal que se encuentre sujeta a requerimientos de Ley permanecerá almacenada en nuestras bases de datos de acuerdo con lo que para esto la Ley haya establecido, en aquellos casos donde la Ley no se ha pronunciado la información permanecerá mientras que la finalidad para la cual fue recolectada se encuentre vigente.
Circulación: Por regla general, NEXTSTOP no comparte los datos personales que recolecta con terceros en general. No obstante, para el cumplimiento efectivo de sus obligaciones puede entregar los datos a otras entidades, amparados en los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 que establece que se encuentra permitido la transmisión de datos personales cuando sea necesario para la ejecución de un contrato entre el titular y el responsable del tratamiento, o para la ejecución de medidas.
Supresión: La supresión de la información personal que haya sido recolectada se llevará a cabo cuando:
- No sea necesaria para el cumplimiento de aspectos legales, contractuales, tributarios, financieros, de auditoria o está cubierta por disposiciones o requerimientos de Ley.
- No afecte o implique la perdida de trazabilidad o integridad de las bases de datos o sistemas de información donde reposa la información.
- Se haya cumplido o eliminado la finalidad para la cual fueron recolectados.
- Sea solicitada por el titular de los datos o aquel que demuestre que se encuentra autorizado y no vaya en contra de las definiciones anteriores.
No obstante, pueda que alguna información se conserve únicamente con fines estadísticos o de auditoría.
FINALIDAD DEL TRATAMIENTO DE DATOS PERSONALES
La información recolectada por NEXTSTOP en forma voluntaria sobre clientes, proveedores, aliados estratégicos y empleados, actuales o pasados, se guarda con el fin de facilitar, promover, permitir o mantener relaciones de carácter laboral, civil y comercial. La información sobre actores en la operación de tránsito internacional se almacena con el fin de dar cumplimiento a las actividades propias de su objeto. Los Datos Personales serán tratados única y exclusivamente para los fines autorizados por el Titular y para aquellos previstos en la presente Política y por el tiempo que sea necesario para dar cumplimiento a dichos fines. La obtención de los Datos Personales de los Titulares podrá realizarse por cualquier medio previsto para tal fin.
Los Datos Personales son objeto de Tratamiento por parte de NEXTSTOP con las siguientes finalidades:
- Proporcionar, al titular de esta, información de interés tales como servicios, informes financieros de la empresa, información accionaria, liquidación de dividendos, facturación y cobro de servicios prestados por NEXTSTOP.
- Para el reconocimiento, protección y ejercicio de los derechos de los accionistas de NEXTSTOP.
- Actuaciones, actividades y procesos relacionados, vinculados o referidos con los accionistas e inversionistas de la empresa.
- Administrar y operar, directamente o por conducto de terceros, los procesos de selección y vinculación de personal, incluyendo la evaluación y calificación de los participantes y la verificación de referencias laborales y personales, y la realización de estudios de seguridad.
- Desarrollar las actividades propias de la gestión de recursos humanos tales como nómina, afiliaciones a entidades del sistema general de seguridad social, entidades de medicina prepagada o compañías de seguro, actividades de bienestar y salud ocupacional, entre otras.
- Actuaciones, actividades y procesos relacionados, vinculados o referidos con empleados y pensionados de la empresa, incluyendo sus familiares.
- Para el fortalecimiento de las relaciones con sus clientes, mediante el envío de información relevante, la atención de Peticiones, Quejas y Reclamos (PQR’s) por parte de servicio al cliente, la evaluación de la calidad de su servicio al cliente y la invitación a eventos organizados o patrocinados por NEXTSTOP.
- Para consolidar un suministro oportuno y de calidad con sus Proveedores, a través de la invitación a participar en procesos de selección, la evaluación del cumplimiento de sus obligaciones y la invitación a eventos organizados o patrocinados por NEXTSTOP.
- Para la verificación de saldos de sus acreedores.
- Controlar el acceso a las oficinas de NEXTSTOP como medidas de seguridad.
- Cumplir con el control y la prevención del fraude y de lavado de activos y obtener la información requerida para el SARLAFT/SAGRILAFT o cualquier otro sistema de administración del riesgo que la organización implemente.
- Para la determinación de obligaciones pendientes, la consulta de información financiera e historia crediticia y el reporte a centrales de información de obligaciones incumplidas, respecto de sus deudores.
- Para actividades de mercadeo, estadísticas, encuestas, investigación y demás propósitos comerciales que no contravengan la legislación vigente en Colombia.
- Para la atención de requerimientos judiciales o administrativos y el cumplimiento de mandatos judiciales o legales.
- Actuaciones, actividades y procesos relacionados, vinculados o referidos con contratistas o proveedores de la empresa.
- Para eventualmente contactar, vía correo electrónico, telefónico o por cualquier otro medio, a personas naturales con quienes tiene o ha tenido relación, tales como, sin que la enumeración signifique limitación, trabajadores y familiares de estos, accionistas, consumidores, comunidad en general, clientes, distribuidores, proveedores, acreedores y deudores, para las finalidades antes mencionadas.
TRATAMIENTO DATOS DE CLIENTES
Los datos que sean recolectados por NEXTSTOP podrán, eventualmente, ser compartidos con autoridades que ejercen Supervisión y Control sobre NEXTSTOP con la finalidad de desarrollar revisiones de calidad, conocer su comportamiento financiero, comercial y crediticio y el cumplimiento de sus obligaciones legales, realizar todas las gestiones necesarias tendientes a confirmar y actualizar la información del cliente, validar y verificar la identidad del cliente para el ofrecimiento y administración de productos y servicios, así mismo para compartir la información con diversos actores del mercado, establecer una relación contractual, así como mantener y terminar una relación contractual, recibir mensajes relacionados con la gestión de cobro y recuperación de cartera, ya sea directamente o mediante un tercero contratado para tal función, realizar una adecuada prestación y administración de los servicios financieros, incluyendo la gestión de cobranza, suministrar información comercial, legal, de productos, de seguridad, de servicio o de cualquier otra índole, conocer la ubicación y datos de contacto del cliente para efectos de notificaciones con fines de seguridad y ofrecimiento de beneficios y ofertas comerciales, prevenir el lavado de activos, la financiación del terrorismo, así como detectar el fraude, corrupción, y otras actividades ilegales. Realizar encuestas de satisfacción concerniente a los servicios prestados por NEXTSTOP llevar a cabo auditorías, actividades de supervisión o con el fin de cumplir con los estándares de calidad respecto de los servicios contratados por el Cliente.
De igual manera, NEXTSTOP podrá llevar a cabo el tratamiento de la información personal de sus Clientes actuales o futuros y de aquellos Clientes con los cuales haya terminado su relación comercial, con la finalidad de enviarles información comercial que a juicio de NEXTSTOP pueda ser de su interés. Así mismo, NEXTSTOP con ocasión de los eventos, capacitaciones o demás actividades llevadas a cabo por éstas, podrán grabar y tomar audios, videos o fotos de Clientes del desarrollo de éstos. Estos audios, videos o fotos podrán ser utilizados en publicaciones, y en general en cualquier actividad.
TRATAMIENTO DATOS DE PROVEEDORES O QUIEN SE TENGA UNA RELACION COMERCIAL
NEXTSTOP llevará a cabo el Tratamiento de información personal de sus Proveedores o de las personas con quienes tengan una relación comercial con la finalidad de cumplir con las obligaciones adquiridas en virtud de la respectiva relación. En relación con los Proveedores y agentes, tales obligaciones incluyen establecer, gestionar o terminar las relaciones comerciales o verificar las referencias; la información solicitada al proveedor o aliado podrá incluir información de la persona natural o jurídica según corresponda.
Así mismo, es posible que se solicite información de los empleados del proveedor o aliado que se encuentren dedicados a cumplir alguna función o relación con NEXTSTOP que por la labor desempeñada requieran acceso a las instalaciones, a los aplicativos y/o sistemas u otros de la organización, realizar el proceso de vinculación del proveedor o aliado con la Organización, generando el desarrollo de los procedimientos internos, los cuales son de relacionamiento, contables, financieros, comerciales, logísticos, entre otros, administrar y verificar antecedentes comerciales, reputacionales y los riesgos de lavado de activos y financiación del terrorismo, así como para detectar y/o prevenir el fraude, corrupción y otras actividades ilegales, por parte del proveedor o sus empleados en relación con la operación de NEXTSTOP, gestionar y fortalecer las relaciones contractuales con el proveedor o aliado, permitiendo un mayor control en las obligaciones asumidas por las partes, revisar y evaluar los resultados del proveedor o aliado, con el fin de fortalecer los procesos de contratación dentro de NEXTSTOP, ofrecer y prestar productos o servicios a través de cualquier medio o canal de acuerdo con el perfil del proveedor o aliado, y de acuerdo con los avances tecnológicos, efectuar análisis e investigaciones comerciales, estadísticas, de riesgos, de mercado, interbancaria y financiera a partir de los resultados del proveedor o aliado. El Tratamiento de los datos que se recolecten en virtud de lo dispuesto en el presente documento será llevado a cabo y estará vigente mientras se mantenga la finalidad por la cual fueron recolectados los datos respectivos.
AUTORIZACIONES
El tratamiento de la información personal contenida en las bases de datos de NEXTSTOP estará precedido, salvo excepciones legales, por la autorización informada de su Titular, la cual se solicitará a más tardar en el momento de su recolección, detallando el tratamiento al cual serán sometidos y las finalidades específicas para las cuales se obtiene su consentimiento.
Con el fin de garantizar los derechos de los Titulares de la información, NEXTSTOP, determinará los mecanismos idóneos para obtener la autorización de Titular, Clientes, Contratistas, Proveedores, Agentes, Empleados, Exempleados, Visitantes, entre otros, o de quienes se encuentren legitimados en virtud de los consagrado por el Artículo 20 del Decreto 1377 de 2013. Igualmente solicitará de manera libre, previa, expresa y debidamente informada, la autorización por parte de los titulares de los datos personales y para ello generará mecanismos idóneos garantizando para cada caso que sea posible verificar el otorgamiento de dicha autorización. La misma, podrá constar en cualquier medio, bien sea un documento físico, digital, electrónico o en cualquier formato que garantice su posterior consulta a través de herramientas técnicas, cumpliendo con los requisitos establecidos en la Ley. En todo caso, se entenderá que la autorización cumple con los requisitos legales cuando se manifieste por escrito, de forma oral o mediante conductas inequívocas que permitan concluir de forma razonable que ella fue concedida; dentro de estas últimas, no podrá asimilarse el silencio como una conducta inequívoca.
Por otra parte, conforme lo dispone el Decreto 1377 de 2013, no se requerirá autorización para el tratamiento de la información contenida en bases de datos que se encuentren a disposición del público en general, siempre que por su naturaleza sean datos públicos.
DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES
El Derecho Fundamental al Habeas Data, faculta al titular del dato solicitar el acceso, actualización, rectificación y supresión de sus datos personales que se encuentran en posesión de un tercero, a su vez, puede revocar la autorización que ha otorgado para el tratamiento. Si un titular de datos personales considera que NEXTSTOP tiene acceso a sus datos personales, esta persona puede en todo momento solicitar la consulta de sus datos, o si considera que NEXTSTOP está haciendo mal uso de sus datos, puede realizar la respectiva reclamación. De conformidad con lo previsto en el artículo 8 de la ley 1581 de 2012, los titulares podrán:
- Conocer, actualizar y rectificar sus datos personales frente a NEXTSTOP este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.
- Solicitar prueba de la autorización otorgada a NEXTSTOP, salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley.
- Ser informado por NEXTSTOP o el Encargado, previa solicitud, respecto del uso que les ha dado a sus datos personales.
- Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen.
- Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que NEXTSTOP ha incurrido en conductas contrarias a esta ley y a la Constitución.
- Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.
- Abstenerse de responder las preguntas sobre datos sensibles Tendrá carácter facultativo las respuestas que versen sobre datos sensibles o sobre datos de niños, niñas y adolescentes.
OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES
NEXTSTOP deberá:
- Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
- Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.
- Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Garantizar que la información que se suministre al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible.
- Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.
- Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado.
- Suministrar al Encargado, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley.
- Exigir al Encargado en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.
- Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley.
- Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.
- Informar al Encargado cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
- Informar a solicitud del Titular sobre el uso dado a sus datos;
- Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
- Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
POLITICAS DE CONTROL Y SEGURIDAD DE LOS DATOS PERSONALES
De conformidad con lo dispuesto en el artículo 19 del Decreto 1377 de 2013, NEXTSTOP se compromete a adoptar las instrucciones que para tal efecto imparta la Superintendencia de Industria y Comercio. No obstante, NEXTSTOP declara que poseen políticas de seguridad de la información y una infraestructura tecnológica que protege de manera razonable la información personal recolectada, limitando el acceso a terceros en la medida de lo posible. Sin embargo, NEXTSTOP trabajará continuamente para mejorar los estándares de seguridad que protegen la información personal recolectada.
Igualmente, NEXTSTOP ha adoptado las medidas técnicas, jurídicas, humanas y administrativas necesarias para procurar la seguridad de los datos de carácter personal protegiendo la confidencialidad, integridad, uso, acceso no autorizado y/o fraudulento. Así mismo, internamente se han implementado protocolos y lineamientos de seguridad de obligatorio cumplimiento para todo el personal con acceso a datos de carácter personal y a los sistemas de información.
De conformidad con lo dispuesto en el artículo 26 de la Ley 158 de 2012, NEXTSTOP, se compromete a no transferir datos a terceros países que no cumplan con los estándares de protección de datos personales exigidos por la Superintendencia de Industria y Comercio, salvo las excepciones que se señalan a continuación:
- Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia.
- Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública.
- Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable.
- Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad.
- Transferencias necesarias para la ejecución de un contrato entre el Titular o transacción comercial en el desarrollo del objeto social y el responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular.
- Transferencias legalmente exigidas para la salvaguarda del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
En los casos no contemplados como excepción, corresponderá a la Superintendencia de Industria y Comercio proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. El Superintendente está facultado para requerir información y adelantar las diligencias tendentes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación. Las transmisiones internacionales de datos personales que se efectúen entre un responsable y un encargado para permitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento, siempre que exista un contrato de transmisión de datos personales."
MECANISMO DE DENUNCIA
NEXTSTOP tiene a su cargo la aplicación de la presente política; protegiendo a sus colaboradores, contratistas, las partes interesadas y sobre todo el buen nombre e imagen de la empresa y sus principios éticos.
Cualquier persona que tenga información o conozca casos en los que uno o varios colaboradores o contratistas o partes interesadas de la NEXTSTOP se vea involucrados en actos contra la política de tratamiento de datos personales, puede informar al correo: contacto@nextstop.com.co, llamar al teléfono (+57) 6044797618, o dejar en físico la denuncia en la Dirección: Carrera 43A #1-85 Edificio Banco Caja Social Oficina 803 dirigido al Supervisor de Seguridad.
