Política de Protección de Datos Personales

Identificación del responsable del tratamiento

Antecedentes normativos

Artículo 15 de la Constitución Política de Colombia

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. La correspondencia y demás formas de comunicación privada son inviolables.

Artículo 20 de la Constitución Política de Colombia

Se garantiza a toda persona la libertad de expresar y difundir su pensamiento y opiniones, la de informar y recibir información veraz e imparcial y la de fundar medios masivos de comunicación. Estos son libres y tienen responsabilidad social. Se garantiza el derecho a la rectificación en condiciones de equidad. No habrá censura.

Ley 1266 de 2008

Tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, particularmente en relación con la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países.

Ley 1581 de 2012

Tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, así como el derecho a la información consagrado en el artículo 20 de la Constitución.

Decreto 1727 de 2009

Establece que cuando el incumplimiento de obligaciones dinerarias se origine en una situación de fuerza mayor causada por secuestro, desaparición forzada o desplazamiento forzado del titular, este tendrá derecho a que el incumplimiento no se refleje como información negativa en su reporte.

Decreto 1377 de 2013

Reglamenta parcialmente la Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.

Objeto

Dar a conocer las Políticas de Tratamiento de la Información y los procedimientos del Sistema de Protección de Datos Personales implementados por CARRILLO ABGD S.A.S., con el fin de garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y el Decreto 1377 de 2013.

Ámbito de aplicación

Las políticas y procedimientos contenidos en este documento serán aplicables a los datos de carácter personal, registrados en cualquier base de datos que los haga susceptibles de tratamiento por parte de CARRILLO ABGD S.A.S.

Estas políticas son de carácter obligatorio para CARRILLO ABGD S.A.S. en calidad de responsable del Tratamiento de Datos, así como para los encargados que realizan el tratamiento de datos personales de la empresa.

Tanto el responsable como los encargados deben salvaguardar la seguridad de las bases de datos que contengan datos personales y guardar la confidencialidad respecto del Tratamiento.

Definiciones

Autorización

Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.

Base de Datos

Conjunto organizado de datos personales que sea objeto de tratamiento.

Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales y/o jurídicas determinadas o determinables.

Dato biométrico

Datos personales que informan sobre determinados aspectos físicos que permiten distinguir a una persona. Se dividen en biométricos fisiológicos (huella dactilar, rostro, retina) y biométricos del comportamiento (voz, firma).

Encargado del Tratamiento

Persona natural o jurídica que realice el tratamiento de datos personales por cuenta del responsable.

Responsable del Tratamiento

Persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos.

Titular

Persona natural cuyos datos personales sean objeto de tratamiento.

Tratamiento

Cualquier operación o conjunto de operaciones sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

Aviso de privacidad

Comunicación verbal o escrita generada por el responsable, dirigida al titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información, la forma de acceder a las mismas y las finalidades del tratamiento.

Consultas

Solicitud de la información personal del titular que repose en cualquier base de datos usada por CARRILLO ABGD S.A.S.

Reclamos

Solicitud de corrección, actualización o supresión de la información contenida en una base de datos.

Dato Público

Dato que no sea semiprivado, privado o sensible. Son considerados datos públicos los relativos al estado civil, profesión u oficio y calidad de comerciante o servidor público.

Datos semiprivados

Datos que no tienen una naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar a un grupo de personas. Para su tratamiento se requiere autorización expresa del titular. Pueden estar contenidos en datos financieros y crediticios.

Datos privados o sensibles

Datos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, datos relativos a la salud, a la vida sexual y los datos biométricos.

Transferencia

Tiene lugar cuando el responsable y/o encargado del tratamiento, ubicado en Colombia, envía la información a un receptor que a su vez es responsable del tratamiento, dentro o fuera del país.

Transmisión

Tratamiento de datos personales que implica la comunicación de los mismos cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.

Visitante

Toda persona que ingrese a las instalaciones y no cuenta con un vínculo laboral con CARRILLO ABGD S.A.S.

Empleado

Persona natural que se encuentra vinculada laboralmente con CARRILLO ABGD S.A.S.

Exempleado

Persona natural que estuvo vinculada laboralmente con CARRILLO ABGD S.A.S.

Principios

Los principios generales que se acogen de la normatividad vigente en Colombia para garantizar la protección de los datos personales:

Legalidad en materia de Tratamiento de Datos

El Tratamiento es una actividad reglada que debe sujetarse a lo establecido en la Ley 1581 de 2012, su Decreto reglamentario 1377 de 2013 y demás disposiciones que la desarrollen.

Finalidad y Tratamiento

El tratamiento obedece a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al titular. Solo puede ejercerse con el consentimiento previo, expreso e informado del titular.

Veracidad o calidad

La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

Transparencia

Se garantiza el derecho del titular a obtener de CARRILLO ABGD S.A.S., en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

Acceso y circulación restringida

El tratamiento solo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la Ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva, salvo acceso técnicamente controlado.

Seguridad

La información se manejará con las medidas técnicas, humanas y administrativas necesarias para evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Confidencialidad

Todas las personas que administran, manejen, actualicen o tengan acceso a información en bases de datos de CARRILLO ABGD S.A.S. están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con la firma.

Datos sensibles

Definición

Datos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, datos relativos a la salud, a la vida sexual y los datos biométricos.

Tratamiento

Se prohíbe el tratamiento de datos sensibles, excepto cuando:

• El titular haya dado su autorización explícita, salvo cuando por ley no sea requerido.
• El tratamiento sea necesario para salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado.
• Sea efectuado en el curso de actividades legítimas de fundaciones, ONG, asociaciones u organismos sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, referidos exclusivamente a sus miembros.
• Se refiera a datos necesarios para el conocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• Tenga una finalidad histórica, estadística o científica, adoptando medidas para suprimir la identidad de los titulares.

En cualquier caso de tratamiento de datos sensibles, CARRILLO ABGD S.A.S.:

1. Informará al titular que por tratarse de datos sensibles no está obligado a autorizar su tratamiento.
2. Informará al titular de forma explícita y previa cuáles datos son sensibles y la finalidad del tratamiento, obteniendo su consentimiento expreso.

Condiciones para el tratamiento de datos

Recolección

En desarrollo de los principios de finalidad y libertad, la recolección se limita a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados.

Autorización del titular

Se requiere autorización previa e informada del titular, obtenida por cualquier medio que pueda ser objeto de consulta posterior (escrito, oral o mecanismos técnicos automatizados).

CARRILLO ABGD S.A.S. solicitará la autorización a más tardar en el momento de recolección de los datos, e informará los datos recolectados así como las finalidades específicas del tratamiento.

En caso de cambios sustanciales en el contenido de las Políticas que puedan afectar el contenido de la autorización, se comunicarán los cambios a los titulares y se obtendrá nueva autorización cuando el cambio se refiera a la finalidad del tratamiento.

Casos en que no es necesaria la autorización

CARRILLO ABGD S.A.S. no requerirá autorización previa del titular en los siguientes casos:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

Suministro de la información

La información solicitada por el titular será suministrada por el mismo medio que fue formulada, de fácil lectura, sin barreras técnicas que impidan su acceso.

Deber de informar al titular

Al solicitar la autorización, CARRILLO ABGD S.A.S. informará de manera clara y expresa:

• El tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.
• El carácter facultativo de la respuesta cuando se trate de datos sensibles o de niñas, niños y adolescentes.
• Los derechos que le asisten como titular.
• La identificación, dirección física o electrónica y teléfono del responsable del tratamiento.

Revocatoria de la autorización y/o supresión del dato

Los titulares podrán, en todo momento, solicitar la supresión de sus datos personales y/o revocar la autorización mediante un reclamo, conforme al artículo 15 de la Ley 1581 de 2012.

La supresión y revocatoria no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos de CARRILLO ABGD S.A.S.

Personas a quienes se les puede suministrar la información

• A los titulares, sus causahabientes o representantes legales.
• A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.
• A los terceros autorizados por el titular o por la ley.

Finalidades del tratamiento

Los datos personales que CARRILLO ABGD S.A.S. recolecte, almacene, use, circule y suprima, serán utilizados para alguna de las siguientes finalidades:

Procesos de selección de personal

CARRILLO ABGD S.A.S. recolectará información de personas naturales para procesos de selección con la finalidad de la contratación de personal. Los candidatos que envían voluntariamente su hoja de vida facultan a CARRILLO ABGD S.A.S. para el tratamiento de los mismos.

La información relacionada con los empleados será tratada con la finalidad de dar cumplimiento a las obligaciones establecidas contractualmente.

Seguridad en instalaciones (videos y datos biométricos)

Determinar de manera cierta la identidad de las personas que ingresan a las instalaciones de CARRILLO ABGD S.A.S. por razones de seguridad de las personas, empleados y bienes de la empresa.

Tratamiento de datos biométricos

Tratamiento de datos recolectados a partir de la captura facial

CARRILLO ABGD S.A.S., por razones de seguridad, cuenta con un sistema de acceso controlado que funciona con el cotejo facial de los empleados. La persona delegada tomará registro facial de los empleados, quienes previamente dieron su autorización expresa para la toma y tratamiento de sus datos privados o sensibles.

En la puerta de acceso se fija, en un punto visible, la siguiente leyenda:

Para efectos de seguridad de CARRILLO ABGD S.A.S., y para una plena identificación del personal que ingresa a la empresa, se validará el acceso mediante cotejo facial. Nuestra política de tratamientos de datos está publicada en la página web de CARRILLO ABGD.

Tratamiento de datos en sistemas de videovigilancia

En la puerta de acceso se informa a empleados y visitantes mediante la siguiente leyenda visible:

Para efectos de seguridad y las actividades que se desarrollen en las áreas de la empresa, usted está siendo grabado y monitoreado por un sistema CCTV (Circuito Cerrado de Televisión). De conformidad con la normatividad vigente de Habeas Data, usted autoriza a CARRILLO ABGD S.A.S., mediante el ingreso a sus instalaciones, a almacenar los datos que se recolecten. Nuestra política de tratamientos de datos está publicada en la página web de CARRILLO ABGD.

Casos en que no se obtenga autorización para captura facial

En caso de no obtener autorización del titular para recolectar el registro facial, se podrá lograr la plena identificación por un medio distinto o por mecanismos alternativos, siguiendo el proceso de acceso a los empleados.

CARRILLO ABGD S.A.S. procesará nombre, fecha, hora de entrada y hora de salida.

Información personal de menores de edad

El tratamiento de datos de menores de edad se realiza siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, y actúen a través de sus padres o quienes tengan la patria potestad del menor o su representación legal.

Derechos de los titulares

De acuerdo con la Ley 1581 de 2012, los titulares de los datos podrán en cualquier momento ejercer los siguientes derechos:

1. Conocer, actualizar y rectificar sus datos personales frente a CARRILLO ABGD S.A.S. o frente al encargado del tratamiento designado.
2. Solicitar prueba de la autorización otorgada a CARRILLO ABGD S.A.S., salvo cuando expresamente se exceptúe como requisito.
3. Ser informado del uso que se ha dado a sus datos personales.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012.
5. Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Los derechos podrán ejercerse por:

• El titular, acreditando su identidad.
• Sus causahabientes, acreditando tal calidad.
• El representante y/o apoderado del titular, previa acreditación.
• Por estipulación a favor de otro o para otro.

Procedimientos de consulta y reclamo

El titular o su representante puede tramitar peticiones, consultas y reclamos de manera directa, expresa, inequívoca y por escrito a la persona delegada de CARRILLO ABGD S.A.S., aportando la documentación que soporte su requerimiento.

Datos del responsable

CARRILLO ABGD S.A.S. responderá la consulta y/o reclamo por el mismo medio que fuere formulada.

Procedimiento para el ejercicio de los derechos del titular

La solicitud debe presentarse por medio escrito a la dirección de CARRILLO ABGD S.A.S. en el horario indicado, o a través del correo electrónico asesora@carrilloabgd.com, e incluir:

1. Nombre completo del titular con identificación respectiva.
2. En caso de no ser el titular, constancia de previa acreditación de la representación o apoderamiento debidamente autenticado.
3. Fotocopia del documento de identificación del titular.
4. Descripción de los hechos que dan lugar a la solicitud.
5. Dirección y teléfono de contacto para dar respuesta.

Consultas

Los titulares o causahabientes podrán consultar la información personal del titular que repose en la base de datos del responsable. CARRILLO ABGD S.A.S. suministrará al solicitante toda la información contenida en el registro individual o que esté vinculada con la identificación del titular.

El titular podrá consultar de forma gratuita sus datos personales:

• Al menos una vez cada mes calendario.
• Cada vez que existan modificaciones sustanciales de las Políticas de Tratamiento.

Para consultas con periodicidad mayor a una por mes calendario, CARRILLO ABGD S.A.S. solamente cobrará los gastos de envío, reproducción y, en su caso, certificación de documentos.

Reclamos

El titular o causahabientes que consideren que la información debe ser corregida, actualizada o suprimida podrán presentar un reclamo, que será tramitado bajo las siguientes reglas:

El reclamo se formulará mediante solicitud dirigida a CARRILLO ABGD S.A.S. con la siguiente información mínima:

• Nombre del responsable o encargado del tratamiento.
• Nombre del peticionario.
• Número de identificación del peticionario.
• Hechos en que se fundamenta la solicitud.
• Objeto de la petición.
• Dirección de envío de correspondencia.
• Documentos que pretenda hacer valer.

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes para subsanar las fallas. Transcurridos dos (2) meses sin que el solicitante presente la información, se entenderá que ha desistido del reclamo.

Una vez recibido el reclamo completo, en término no mayor a dos (2) días hábiles se incluirá en la base de datos la leyenda "reclamo en trámite", que se mantendrá hasta la decisión.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Requisito de procedibilidad

El titular o causahabiente solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante CARRILLO ABGD S.A.S. o el encargado del tratamiento.

Deberes de Carrillo Abgd S.A.S.

CARRILLO ABGD S.A.S. cumplirá los siguientes deberes:

• Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
• Solicitar y conservar copia de la respectiva autorización otorgada por el titular.
• Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten.
• Tomar las medidas para conservar la información bajo condiciones de seguridad para impedir adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Tomar las medidas para que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar la información comunicando oportunamente al encargado del tratamiento todas las novedades.
• Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado.
• Suministrar al encargado únicamente datos cuyo tratamiento esté previamente autorizado.
• Exigir al encargado, en todo momento, el respeto a las condiciones de seguridad y privacidad.
• Tramitar las consultas y reclamos en los términos señalados en la Ley.
• Definir un instructivo de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley.
• Informar al encargado cuando determinada información se encuentre en discusión.
• Informar, a solicitud del titular, sobre el uso dado a sus datos.
• Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos.
• Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Deberes del encargado del tratamiento

Los encargados del tratamiento de datos de CARRILLO ABGD S.A.S. cumplirán:

• Garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data.
• Tomar medidas para conservar la información bajo condiciones de seguridad necesarias.
• Realizar oportunamente la actualización, rectificación o supresión de los datos.
• Actualizar la información reportada por los responsables dentro de los cinco (5) días hábiles contados desde su recibo.
• Tramitar las consultas y reclamos en los términos señalados en la Ley.
• Definir un instructivo de políticas y procedimientos para la atención de consultas y reclamos.
• Registrar en la base de datos la leyenda "reclamo en trámite".
• Insertar la leyenda "información en discusión judicial" una vez notificado por la autoridad competente.
• Colocar en puntos visibles las leyendas de seguridad CCTV y cotejo facial.
• Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la SIC.
• Permitir el acceso a la información únicamente a las personas autorizadas.
• Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos.
• Salvaguardar la seguridad de las bases de datos.
• Guardar confidencialidad respecto del tratamiento de los datos personales.

Medidas de seguridad para la protección de la información

CARRILLO ABGD S.A.S. toma todas las precauciones razonables y medidas de índole técnico, administrativo y organizacional, conducentes a garantizar la seguridad de los datos de carácter personal, principalmente aquellos destinados a impedir su alteración, pérdida y tratamiento o acceso no autorizado. Las medidas se aplican tanto a los ficheros como a los tratamientos.

La aplicación de las medidas tiene como fin procurar la conservación, confidencialidad, integridad y disponibilidad de los datos.

Políticas de seguridad de la información

Los parámetros de seguridad de CARRILLO ABGD S.A.S. se encuentran respaldados por las políticas de seguridad de la información, construidas bajo las mejores prácticas y estándares de seguridad existentes y dando cumplimiento a las regulaciones vigentes. Dichas políticas son de estricto cumplimiento por los funcionarios directos o indirectos.

Modificaciones a la política

CARRILLO ABGD S.A.S. se reserva el derecho de modificar la presente política según lo requiera para su funcionamiento y cumplimiento normativo. En caso de cambios sustanciales, se dará a conocer su última versión a través de medios físicos, electrónicos o página web.

De presentarse cambios respecto a la finalidad del tratamiento, CARRILLO ABGD S.A.S. solicitará una nueva autorización del titular a través de diarios de amplia circulación nacional, diarios locales o revistas, páginas de internet, carteles informativos, entre otros. Si en el término de treinta (30) días hábiles desde la implementación de cualesquiera de los mecanismos de comunicación el titular no ha contactado al responsable para solicitar la supresión, CARRILLO ABGD S.A.S. podrá continuar el tratamiento.

Aceptación de esta política

El titular de la información acepta el tratamiento de sus datos personales conforme a las finalidades de la presente política, al ingresar voluntariamente a las instalaciones o página web, o al contraer un vínculo laboral con CARRILLO ABGD S.A.S.

No obligación de inscribir base de datos ante la SIC

De conformidad con el Decreto 090 de enero 18 de 2018, CARRILLO ABGD S.A.S. no está obligada a inscribirse en el Registro Nacional de Bases de Datos ante la Superintendencia de Industria y Comercio, ya que tiene activos totales inferiores a 100.000 Unidades de Valor Tributario (UVT).

Vigencia

La presente política de tratamiento de la información entró en vigencia a partir del 1 de marzo de 2024.

Las bases de datos de CARRILLO ABGD S.A.S. estarán vigentes durante el periodo necesario para cumplir las finalidades establecidas en la presente política. Los datos podrán ser eliminados en cualquier momento a solicitud del titular, siempre y cuando no tengan un deber legal o contractual de permanecer en las bases de datos.