Para el cumplimiento de su objeto social, la Empresa, podrá encargar el Tratamiento de los datos personales que posea a un tercero, con el fin que éste último realice las gestiones de comunicación, promoción, mercadeo, notificación, actualización de datos, planes de fidelización, programas y proyectos especiales que permitan, entre otras, el cumplimiento de las siguientes finalidades tanto por medios físicos como digitales:

• Celebración, suscripción o mantenimiento de relaciones contractuales con los Titulares.
• Otorgamiento de créditos y financiación de consumo.
• Tratamiento de información requerida en materia laboral y societaria de la Compañía.
• Información de carácter confidencial, privacidad y no divulgable.
• Cumplimiento de la finalidad del servicio como proveedor.

Todo lo anterior, respetando siempre las finalidades que el Titular de la información haya autorizado a la Empresa o entidades autorizadas por ministerio de la Ley.

El Encargado del Tratamiento sobre cualquiera de las Bases de Datos entregada o compartida por la Empresa, deberá cumplir con los siguientes deberes:

• Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
• Actualizar la información reportada por la Empresa dentro de los cinco (5) días hábiles contados a partir de su recibo.
• Realizar oportunamente la Actualización, Rectificación o Supresión de los datos en los términos establecidos por la Ley.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la Ley.
• Registrar en las Bases de Datos las leyendas reclamo en trámite en la forma en que se regula en la normatividad relativa al Tratamiento de datos personales.
• Insertar en la Base de Datos la leyenda información en discusión judicial una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
• Adoptar una política interna de procedimientos para garantizar el adecuado cumplimiento de la normatividad relativa al Tratamiento de datos personales y, en especial, para la atención de consultas y reclamos por parte de los Titulares.
• Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
• Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
• Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
• Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares

Todos los Titulares de los datos personales pueden en cualquier momento revocar su Autorización otorgada a la Empresa para el Tratamiento de sus datos personales e incluso solicitar a la Empresa la supresión o eliminación de sus datos personales contenidos en sus Bases de Datos. Lo anterior, siempre y cuando dicha conducta no contravenga una disposición legal o contractual vigente.

La Empresa garantizará al Titular el fácil acceso a estas solicitudes, estableciendo mecanismos sencillos y simples que permitan al Titular revocar su Autorización o solicitar la supresión de sus datos personales, al menos por el mismo medio por el cual él los otorgó inicialmente.

Para el anterior procedimiento, deberá tenerse en cuenta por parte del Titular que, la revocatoria del consentimiento puede expresarse de manera total o parcial en relación con las finalidades autorizadas. (I) Si se revoca totalmente, la Empresa deberá cesar cualquier actividad de Tratamiento de los datos suministrados por el Titular; por el contrario (II) si se revoca parcialmente únicamente frente a ciertos tipos de Tratamiento, la Empresa cesará el tratamiento sobre las finalidades que expresamente fueron revocadas por el Titular. En este último caso, la Empresa podrá continuar tratando los datos personales para aquellos fines que no fueran revocados.

Todo Tratamiento sobre los datos de los Titulares con los cuales la Empresa tuviere establecida una relación como Responsable del Tratamiento y de la Información Transaccional para la oferta de servicios de valor agregado, será realizado por la Empresa con base en las prescripciones de la Ley 1581 de 2012 y la Ley 1266 de 2008 en lo que le sea aplicable, y en general para el cumplimiento de su objeto social.

En todo caso, la Empresa recolectará y tratará los datos personales de los Titulares, con el propósito de ejecutar ciertas finalidades, las cuales varían conforme la Base de Datos, según se describe a continuación:

Nómina:

• Adelantar procesos de selección.

• Desarrollar y ejecutar la relación laboral de llegarse a celebrar.

• Enviar información por cualquier medio conocido o por conocer (correo electrónico, físico, SMS, llamadas telefónicas, mensaje de datos, WhatsApp, herramientas de mensajería instantánea, entre otros) acerca de procesos de selección, ejecución de contratos laborales, incapacidades, pagos, campañas, información de productos y servicios, notificaciones de actividades, promociones, ofertas y lanzamientos.

• Realizar programas y actividades de formación y capacitación.

• Realizar evaluaciones y valoraciones de desempeño.

• Emitir referencias laborales y/o comerciales cuando el Titular lo requiera.

• Validar las referencias laborales y/o comerciales que el Titular hubiese aportado.

• Suministrar información personal de carácter comercial, para la ejecución de las relaciones contractuales adquiridas por la Empresa con terceros.

• Actualizar datos personales.

• Consultar, reportar, procesar y divulgar toda la información que se refiera a su comportamiento financiero, comercial y de servicios, a cualquier Operador de la Información (Central de Riesgo) o a cualquier entidad o fuente de información pública o privada, nacional, extranjera o multilateral que administre o maneje bases de datos, para fines comerciales y de servicios de crédito.

• Adelantar trámites de vinculación al sistema de seguridad social.

• Realizar tratamiento de datos biométricos para la implementación y uso de sistemas de ingreso y seguridad que requieran autenticación biométrica.

Proveedores:

• Establecimiento de canales de comunicación con el Titular, a través de correo electrónico, llamadas telefónicas, envío de SMS, WhatsApp, herramientas de mensajería instantánea, o cualquier canal de comunicación conocido o por conocerse, siempre que sea autorizado por el Titular.

• Crear y realizar seguimiento a las órdenes de compra.

• Gestionar el pago a proveedores.

• Analizar información con fines estadísticos.

• Solicitar propuestas y cotizaciones.

• Atender reclamaciones.

• Contactar a potenciales proveedor o proveedores actuales para compras y contratación.

• Enviar y solicitar información sobre el desempeño de productos.

• Evaluar calidad de productos y servicios contratados.

• Realizar actividades de mercadeo y publicidad afines al objeto social de la Empresa.

• Analizar, evaluar y consultar la información entregada por el Titular en listas para el control de lavado de activos y financiación del terrorismo administradas por cualquier autoridad nacional o extranjera

Comercial:

• Establecimiento de canales de comunicación con el Titular, a través de correo electrónico, llamadas telefónicas, envío de SMS, WhatsApp, herramientas de mensajería instantánea, o cualquier canal de comunicación conocido o por conocerse, siempre que sea autorizado por el Titular.

• Ofrecer servicios y campañas comerciales.

• Ofertar servicios de valor agregado.

• Participar en programas de beneficios y fidelización.

• Consultar en centrales de información para fines comerciales y de servicios de crédito

• Consultar hábitos de consumo y aficiones para ofertas, promociones y servicios, entre otros.

• Contactarlo para realizar estudios de mercado y encuestas de satisfacción.

• Gestionar tramites (solicitudes, quejas y reclamos).

• Compartir con empresas aliadas, asociados, sucursales, franquicias, filiales y subsidiarias para la oferta de servicios.

Colaboradores administrativos de la Empresa:

• Establecimiento de canales de comunicación con el Titular, a través de correo electrónico, llamadas telefónicas, envío de SMS, WhatsApp, herramientas de mensajería instantánea, o cualquier canal de comunicación conocido o por conocerse, siempre que sea autorizado por el Titular.

• Control de registro de accionistas de la Compañía y el ejercicio de sus derechos.

• Control del Libro de Registro de Accionistas de la sociedad.

• Suministro y entrega de información sobre pago de dividendos o utilidades.

• Analizar, evaluar y consultar la información entregada por el Titular en listas para el control de lavado de activos y financiación del terrorismo administradas por cualquier autoridad nacional o extranjera.

Al interior de la Empresa, existen dos (2) tipos de medidas de protección dentro del Programa Integral de Gestión de Datos Personales adoptadas por cada uno de los Departamentos de la Compañía.

• Barreras físicas.

La primera de las medidas tiene que ver con las barreras físicas que custodian el acceso a los medios que contienen las Bases de Datos. Para esto, el personal es primeramente identificado en la portería de la Empresa. Para tener acceso a los equipos en los que se almacenan las Bases de Datos, el personal debe pedir autorización al área de Servicios que es la encargada de permitir el ingreso al cuarto de equipos y autenticar la identidad del personal mediante tarjeta RFID. El ingreso es registrado mediante cámaras de video vigilancia.

• Barreras digitales.

La segunda medida se encuentra descrita como las barreras digitales, en la cual, el usuario se debe autenticar en la estación de trabajo y luego frente al aplicativo, el cual se protege a través de un Firewall, a su vez, el aplicativo realiza la consulta a la Base de Datos que también está protegida por un Firewall.

Adicionalmente, la Empresa implementa políticas de contraseñas en la cual se generan claves seguras de al menos doce (12) dígitos y con caracteres adecuados para que no se descifren fácilmente, adicional a que todas son mediante md5.

Cuando el Titular de los datos personales pretenda conocer, acceder a la información, o solicitar una copia de la Autorización, el área de Servicio al Cliente resolverá su consulta dentro de los diez (15) días hábiles siguientes a la fecha de recibo de la misma.

Cuando no fuere posible atender la consulta dentro del término indicado en el inciso anterior, se informará al solicitante tal situación, los motivos de la demora y la fecha en la cual será resuelta la solicitud, fecha que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

Cuando el Titular de los datos personales pretenda rectificar, actualizar, suprimir alguno de sus datos o revocar su Autorización, el área de Servicio al Cliente resolverá su reclamo dentro de los quince (15) días hábiles siguientes a la fecha de recibo de la misma.

Cuando no fuere posible atender la consulta dentro del término indicado en el inciso anterior, se informará al solicitante tal situación, los motivos de la demora y la fecha en la cual será resuelta la solicitud, fecha que en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer término.

La Empresa dará respuesta a las consultas y reclamos de los Titulares, dentro de los términos establecidos en los numerales 22 y 23 de esta Política, de manera escrita a la dirección física o electrónica suministrada por el solicitante para tal efecto.

Cuando el solicitante suministre una dirección física y una electrónica, o más de una dirección de aquellas o de estas, será a discreción de la Emoresa la decisión sobre a cual dirección enviar la respuesta.

De conformidad con las normas aplicables a la materia, se encuentran legitimados para radicar una consulta o un reclamo ante la Empresa, las siguientes personas:

• Los Titulares de los datos personales.
• Los causahabientes de los Titulares.
• Los representantes legales.
• Las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.
• Los terceros autorizados por el Titular o por la ley.

Toda modificación a lo dispuesto en esta Política, pasará por un proceso de discusión y decisión conjunta en el que intervendrán los siguientes funcionarios de la Empresa:

• Gerencia y Líderes de las áreas involucradas.
• Asuntos Legales y de Cumplimiento.
• Mercadeo y publicidad.

De cada decisión que determine la necesidad de efectuar alguna modificación a la presente Política se dejará constancia escrita suscrita por los integrantes.

Toda modificación que cumpla el procedimiento previamente determinado, entrará hacer parte de la presente Política y por lo tanto será de obligatorio e inmediato cumplimiento.

Acorde con las disposiciones establecidas en el Decreto 1377 de 2013, así como las directrices impartidas por la autoridad competente en Colombia para la protección de los datos personales, la Compañía registrará las Bases de Datos sobre las cuales realice Tratamiento y procederá con su actualización anualmente.

Así mismo, notificará por medio del Registro Nacional de Bases de Datos, cualquier incidente, novedad o inconsistencia que se presente frente al Tratamiento de los datos personales que conforman sus Bases de Datos.