Transparencia y protección de datos
Política de tratamiento de datos personales
Lineamientos adoptados por la Asociación de Fundaciones Familiares y Empresariales (AFE) para la recolección, el almacenamiento, el uso, la circulación y la protección de los datos personales que trata en desarrollo de su labor gremial.
En cumplimiento de la Ley Estatutaria 1581 de 2012 y demás normativa colombiana aplicable en materia de protección de datos personales.
Introducción
La Asociación de Fundaciones Familiares y Empresariales, con NIT 900.225.675-2 y domicilio en la ciudad de Bogotá, D. C., es una entidad sin ánimo de lucro cuya misión es contribuir al fortalecimiento de las fundaciones asociadas mediante el desarrollo de capacidades, el fomento del trabajo colaborativo y la incidencia en prácticas del sector privado y en políticas públicas.
Tomando en cuenta que es derecho constitucional que las personas puedan conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, se presenta a continuación la «Política de tratamiento de datos personales» por parte de los responsables y encargados, atendiendo a las disposiciones previstas en la Ley Estatutaria 1581 de 2012, que regula los deberes que asisten a los responsables del tratamiento de datos personales, dentro de los cuales se destaca el de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos. Esta obligación se encuentra igualmente reglamentada en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, que establece la obligatoriedad de los responsables de desarrollar sus políticas para el tratamiento de los datos personales y de velar porque los encargados del tratamiento den cabal cumplimiento a estas.
Ámbito de aplicación
Esta política aplica para todos los titulares de información personal que sea utilizada y/o se encuentre en las bases de datos de la Asociación de Fundaciones Familiares y Empresariales, quien actúa en calidad de responsable del tratamiento de los datos personales.
La Asociación garantiza la protección de derechos como el hábeas data, la privacidad, la intimidad, el buen nombre y la imagen. Con tal propósito, todas las actuaciones se rigen por los principios de buena fe, legalidad, autodeterminación informática, libertad y transparencia.
Base legal
El artículo 15 de la Constitución Política de Colombia establece que cualquier persona tiene derecho a conocer, actualizar y rectificar los datos personales que existan sobre ella en bancos de datos o archivos de entidades públicas o privadas. Igualmente, ordena a quienes tienen datos personales de terceros respetar los derechos y garantías previstos en la Constitución cuando se recolecta, trata y circula esa clase de información.
La Ley Estatutaria 1581 del 17 de octubre de 2012 establece las condiciones mínimas para realizar el tratamiento legítimo de los datos personales de clientes, empleados y cualquier otra persona natural.
Literal k), artículo 17: los responsables del tratamiento de datos personales deben «adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley y en especial, para la atención de consultas y reclamos».
El artículo 25 de la misma ley establece que las políticas de tratamiento de datos obligan a sus responsables y que su desconocimiento acarreará sanciones; adicionalmente, señala que dichas políticas no pueden garantizar un nivel de tratamiento inferior al establecido en la Ley 1581 de 2012. El Decreto 1377 de 2013 define la información que deben contener, como mínimo, las políticas de tratamiento de información.
La Asociación está comprometida con el respeto y la garantía de los derechos de sus afiliados, empleados, proveedores y terceros en general. Por ello adopta el presente manual de políticas y procedimientos de tratamiento de información, de obligatoria aplicación en todas las actividades que involucren, total o parcialmente, la recolección, el almacenamiento, el uso, la circulación y la transferencia de esa información. Estas políticas son de obligatorio y estricto cumplimiento para la Asociación en calidad de responsable, así como para todos los terceros que obran en su nombre, o que —sin actuar en su nombre— tratan datos personales por disposición de esta en calidad de encargados.
Tanto el responsable como el encargado —entiéndase empleados, contratistas y terceros— deben observar y respetar estas políticas en el cumplimiento de sus funciones y actividades, aun después de terminados los vínculos legales, comerciales, laborales o de cualquier índole. De igual manera, se comprometen a guardar estricta confidencialidad en relación con los datos tratados.
Objetivo
Dar a conocer la política de tratamiento de datos personales implementada por la Asociación de Fundaciones Familiares y Empresariales, en su condición de responsable, garantizando el adecuado cumplimiento de la Ley 1581 de 2012 y su decreto reglamentario 1377 de 2013. Estas normas buscan desarrollar el derecho constitucional que tienen todas las personas de conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política, así como el derecho a la información consagrado en su artículo 20.
Datos del responsable
Razón social: Asociación de Fundaciones Familiares y Empresariales.
Domicilio: Bogotá, D. C.
Correo: contacto@afecolombia.org
Teléfono: 314 610 3689.
Definiciones
Autorización: consentimiento previo, expreso e informado del titular para que la Asociación pueda llevar a cabo el tratamiento de sus datos personales.
Aviso de privacidad: comunicación verbal o escrita generada por el responsable, dirigida al titular, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a ellas y las finalidades del tratamiento que se pretende dar a sus datos personales.
Base de datos: conjunto organizado de datos personales que sean objeto de tratamiento.
Consulta: solicitud del titular del dato, o de las personas autorizadas por este o por la ley, para conocer la información que reposa sobre él en bases de datos o archivos.
Dato público: aquel calificado como tal según los mandatos de la ley o la Constitución Política. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas.
Dato privado: el que, por su naturaleza íntima o reservada, solo es relevante para el titular.
Dato semiprivado: el que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su titular, sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio o de actividad comercial.
Dato sensible: aquel relacionado con el origen racial o étnico, la pertenencia a sindicatos, organizaciones sociales o de derechos humanos, las convicciones políticas o religiosas, la vida sexual, los datos biométricos o de salud. Esta información podrá no ser otorgada por su titular.
Datos personales: cualquier información que permita identificar a una persona natural o jurídica, pública o privada.
Encargado del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
Reclamo: solicitud del titular del dato, o de las personas autorizadas por este o por la ley, para corregir, actualizar o suprimir sus datos personales por algún uso incorrecto de estos.
Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos o el tratamiento de los datos; en este caso, la Asociación de Fundaciones Familiares y Empresariales.
Titular de los datos personales: persona física cuyos datos son objeto de tratamiento.
Tratamiento de la información: realización de cualquier operación sobre el dato personal, dentro de las cuales se encuentra la recolección, el almacenamiento, el uso, la circulación y la supresión de este.
Finalidad de la base de datos
Informar de forma completa e integral a los clientes, proveedores y colaboradores de la Asociación sobre la presente política de tratamiento de bases de datos, para cumplir con la ley y garantizar los derechos de las partes.
Atención de oportunidades de mejora, sugerencias o felicitaciones.
Facturación y pagos.
Conservar la información reportada en la base de datos.
Enviar, vía correo electrónico o por medio físico:
- Información relacionada con nuestros productos y servicios.
- Información o anuncios de relevancia para la Asociación.
- Invitaciones a eventos.
- Gestión de información para dar cumplimiento a obligaciones legales y para la administración de proveedores.
- Ofertas, contratos y convenios.
- Cartas y comunicaciones en general.
Política general
La Asociación dará tratamiento a los datos personales e información en todo caso limitado a los objetivos para los cuales fue entregada, comprometiéndose a hacer una correcta recolección, almacenamiento, uso y tratamiento de los datos, enmarcado en la confidencialidad, la integridad, la veracidad, la transparencia y la disponibilidad de la información y de las bases de datos de sus clientes, proveedores y colaboradores, evitando el acceso no autorizado de terceros que permita conocer, vulnerar, modificar, divulgar o destruir la información que reposa en sus bases de datos.
El titular del dato personal tiene el deber de suministrar a la Asociación sus datos personales en forma veraz, completa y oportuna; de ejercer sus derechos en debida forma; y de cumplir las medidas de seguridad que la Asociación adopte y/o le recomiende adoptar para proteger la confidencialidad de su información.
Políticas específicas para el tratamiento de los datos personales
La Asociación, en calidad de responsable, se regirá por los siguientes parámetros en las operaciones que constituyan tratamiento de datos personales:
Clientes: los datos e información personal de nuestros clientes se consideran información reservada y reposarán en nuestras bases de datos de acuerdo con la presente política.
Proveedores: solo se solicitarán los datos necesarios para cotizar, ejecutar el contrato a que haya lugar y comprar el producto o servicio requerido.
Colaboradores: la Asociación almacenará los datos personales obtenidos durante el proceso de selección en una carpeta identificada con el nombre de cada colaborador, a la que solo tendrá acceso el área de Gestión Humana, con el fin de administrar la relación contractual. Terminada la relación laboral, cualquiera sea la causa, se conservarán los datos personales y la documentación generada, sometidos igualmente a medidas y niveles de seguridad, para dar cumplimiento a la ley colombiana y para emitir certificaciones relativas a la relación del titular con la Asociación.
Principios para el tratamiento de datos
Legalidad: el tratamiento a que se refiere la ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen.
Finalidad: el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.
Libertad: el tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Veracidad o calidad: la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
Transparencia: debe garantizarse el derecho del titular a obtener del responsable o del encargado, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
Acceso y circulación restringida: el tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y de la Constitución. Solo podrá hacerse por personas autorizadas por el titular y/o por las previstas en la ley.
Seguridad: la información sujeta a tratamiento por el responsable o el encargado se manejará con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Confidencialidad: todas las personas que intervengan en el tratamiento de datos personales que no tengan naturaleza pública están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo solo suministrar o comunicar datos personales cuando ello corresponda al desarrollo de las actividades autorizadas por la ley y en los términos de esta.
Autorización
La recolección, el almacenamiento, el uso, la circulación y la supresión de datos personales por parte de la Asociación requiere del consentimiento libre, previo, expreso e informado de los titulares. Para ello, la Asociación contará con los mecanismos idóneos que permitan verificar el otorgamiento de dicha autorización, la cual podrá constar en cualquier medio —físico o electrónico— o en cualquier formato que garantice su posterior consulta a través de herramientas técnicas, tecnológicas y de seguridad informática. La autorización es una declaración que informa al titular quién recopila su información personal, qué información recopila, los fines para los cuales la recoge, cómo ejercer los derechos de acceso, corrección, actualización o supresión de los datos suministrados, e información sobre la recolección de datos sensibles.
La Asociación adoptará las medidas necesarias para mantener registros o mecanismos técnicos o tecnológicos idóneos de cuándo y cómo obtuvo la autorización de los titulares para el tratamiento de sus datos.
Autorización de tratamiento de datos de niños, niñas y adolescentes (NNA)
En el tratamiento de datos de niños, niñas y adolescentes se asegurará el respeto a sus derechos prevalentes. Queda proscrito el tratamiento de datos personales de NNA, salvo aquellos que sean de naturaleza pública. En los casos en que la Asociación actúa como encargada de bases de datos de NNA, será garante de solicitar la correspondiente autorización al acompañante, tutor o quien haga sus veces, de acuerdo con las edades contempladas en el Código de Infancia y Adolescencia.
Casos en los que no es requerida la autorización para el tratamiento de datos
Cuando la información sea solicitada por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial.
Cuando se trate de datos de naturaleza pública, por no estar protegidos por el ámbito de aplicación de la norma.
En eventos de urgencia médica o sanitaria debidamente comprobados.
Cuando la información sea autorizada por la ley para cumplir con fines históricos, estadísticos y científicos.
Cuando se trate de datos relacionados con el registro civil de las personas, por no considerarse de naturaleza privada.
Excepciones en el tratamiento de datos sensibles
Se prohíbe el tratamiento de datos sensibles, excepto cuando:
El titular haya dado su autorización explícita a dicho tratamiento, salvo en los casos en que, por ley, no sea requerido su otorgamiento.
El tratamiento sea necesario para salvaguardar el interés vital del titular cuando este se encuentre física o jurídicamente incapacitado; en estos eventos, sus representantes legales deberán otorgar la autorización.
El tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación u otro organismo sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a personas con contacto regular por razón de su finalidad. En estos casos, los datos no podrán suministrarse a terceros sin autorización del titular.
El tratamiento se refiera a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
El tratamiento tenga una finalidad histórica, estadística o científica, caso en el cual deberán adoptarse las medidas conducentes a la supresión de la identidad de los titulares.
En el tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el tratamiento de sus datos personales, salvo los de naturaleza pública.
Derechos de los titulares de los datos
El ejercicio de estos derechos será gratuito e ilimitado para el titular del dato personal, sin perjuicio de las disposiciones legales que regulen su ejercicio. Los titulares de los datos recogidos en la base de datos tendrán derecho a:
Conocer: solicitar en cualquier momento que se le informe cuáles de sus datos personales tiene la Asociación y cuál ha sido el uso que le ha dado.
Actualizar: solicitar la actualización de sus datos personales cuando estos hayan variado, proporcionando de forma veraz y oportuna la información que desea incluir en la base de datos.
Rectificar: solicitar la modificación de datos inexactos o inexistentes, identificándose en debida forma, explicando la inexactitud o inconsistencia y suministrando la información correcta y completa que desea incorporar.
Suprimir: solicitar en cualquier momento la eliminación de los datos que considere necesarios, identificándose en debida forma y señalando la información a eliminar, junto con la documentación soporte requerida.
Revocar la autorización: solicitar la revocatoria de la autorización para el uso de sus datos personales, siempre que no exista un deber legal o contractual que obligue a mantenerla vigente.
Solicitar prueba de la autorización: pedir que se acredite la autorización impartida, en los casos en que, por ley, esta no fuese necesaria para el tratamiento de los datos.
Presentar quejas y reclamos: dirigir a la Asociación consultas y reclamos de conformidad con las leyes que los reglamentan, así como quejas ante la Superintendencia de Industria y Comercio o la entidad que corresponda.
Deberes de la Asociación como encargada del tratamiento
Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, conservando la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Actualizar la información reportada por los responsables del tratamiento dentro de los diez (10) días hábiles siguientes a su recibo.
Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la ley.
Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley, en especial para la atención de los titulares.
Tramitar las consultas y los reclamos formulados por los titulares en los términos señalados en la ley.
Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
Permitir el acceso a la información únicamente a las personas autorizadas para ello.
Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
Suministro de la información
La información solicitada podrá suministrarse por medio físico o electrónico, según lo requiera el titular, y deberá corresponder en su totalidad a la que repose en la base de datos.
Seguridad de la información
La Asociación cuenta con medidas de seguridad orientadas a proteger toda la información institucional y establece mecanismos de control que mitigan la adulteración y el robo de información, previniendo de manera anticipada el riesgo asociado a este tipo de operaciones.
Así mismo, existe un monitoreo continuo por parte del proceso de sistemas como medida de seguridad informática frente a la vulnerabilidad que pueda presentarse en la información de la Asociación.
Se tienen establecidos niveles de seguridad para los colaboradores de la institución, determinados por perfiles de usuario de acuerdo con su responsabilidad en cada proceso.
Consultas
Las consultas se formularán por los medios referidos, garantizando su trazabilidad. Serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes de su vencimiento, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
Reclamos
El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o que adviertan el presunto incumplimiento de la normatividad, podrán utilizar medios físicos o electrónicos para formular su queja, la cual deberá contener como mínimo:
- — Identificación del titular.
- — La dirección, el teléfono y el correo electrónico, de ser posible.
- — La descripción de los hechos que dan lugar al reclamo.
- — La documentación que se considere pertinente para sustentarlo.
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga «reclamo en trámite» y el motivo de este, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido. El término máximo para atenderlo será de quince (15) días hábiles contados a partir del día siguiente a su recibo; cuando no fuere posible cumplirlo, se informará al interesado antes del vencimiento del plazo, señalando los motivos de la demora y la nueva fecha de atención, que en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Rectificación y actualización de datos
La Asociación tiene la obligación de rectificar y actualizar, a solicitud del titular, la información que resulte incompleta o inexacta, de conformidad con el procedimiento y los términos señalados anteriormente. En las solicitudes de rectificación y actualización, el titular debe indicar las correcciones a realizar y aportar la documentación que avale su petición.
Supresión de datos
El titular tiene el derecho, en todo momento, a solicitar a la Asociación la supresión de sus datos personales cuando:
Considere que no están siendo tratados conforme a los principios, deberes y obligaciones previstos en la Ley 1581 de 2012 y el Decreto 1074 de 2015.
Hayan dejado de ser necesarios o pertinentes para la finalidad para la cual fueron recabados.
Se haya superado el periodo necesario para el cumplimiento de los fines para los que fueron recabados.
Esta supresión implica la eliminación total o parcial de la información personal, de acuerdo con lo solicitado por el titular, en los registros, archivos, bases de datos o tratamientos realizados por la Asociación.
El derecho de cancelación no es absoluto: el responsable puede negar su ejercicio cuando el titular tenga un deber legal o contractual de permanecer en la base de datos; cuando la eliminación obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas; o cuando los datos sean necesarios para proteger los intereses jurídicamente tutelados del titular, para actuar en función del interés público o para cumplir una obligación legalmente adquirida por él.
En caso de resultar procedente la cancelación de los datos personales, la Asociación debe realizar operativamente la supresión de tal manera que la eliminación no permita la recuperación de la información.
Vigencia de la política
El tratamiento de los datos tendrá un período de vigencia igual al establecido para la relación contractual.
La presente política entra en vigor a partir de su publicación y podrá ser modificada o actualizada por la Asociación de Fundaciones Familiares y Empresariales en cumplimiento de la ley.
¿Tienes una consulta sobre el tratamiento de tus datos?
Escríbenos a través de nuestros canales institucionales y te responderemos dentro de los términos establecidos en esta política.