Política de Privacidad y Tratamiento de Datos Personales

1. INTRODUCCIÓN

En cumplimiento a lo dispuesto en la Ley Estatutaria 1581 de 2012, la Ley 1266 de 2008, el Decreto Reglamentario 1377 de 2013 y los artículos 15 y 20 de la Constitución Política de Colombia, la empresa BOTICARIO COLOMBIA S.A.S. (en adelante “OBOTICARIO”), sociedad domiciliada en la ciudad de Bogotá D.C., identificada con NIT No. 900.611.019-6, cuyo objeto social consiste en la comercialización de productos farmacéuticos y medicinales, cosméticos y artículos de tocador en establecimientos especializados y a través de internet, establece mediante esta Política el Programa Integral de Gestión de Datos Personales (en adelante “Programa”), conteniendo sus objetivos y principios, así como las directrices necesarias para su implementación y aplicación.

2. OBJETIVO GENERAL

OBOTICARIO ha establecido este Programa con el fin de aplicar el principio de Responsabilidad Demostrada (“accountability” en inglés) en sus operaciones de negocio, de acuerdo con la guía publicada por la Superintendencia de Industria y Comercio – SIC.

Además, el presente Programa tiene el propósito de reforzar el compromiso institucional de proteger los Datos Personales que se custodia en OBOTICARIO, dando cumplimiento a la normatividad colombiana en protección de datos ante los Titulares de los Datos Personales y ante las autoridades.

3. ALCANCE

El presente Programa será aplicado a todos los procesos y todas las actividades de OBOTICARIO que involucren Datos Personales almacenados en las Bases de Datos, mediante el cual se requiera, total o parcialmente, recolectar, almacenar, utilizar, circular o suprimir Datos Personales, y que de conformidad con la normatividad vigente sean objeto de Tratamiento.

Lo establecido en este Programa aplica a todo o personal de OBOTICARIO que de una u otra manera en el desarrollo de sus funciones traten Datos Personales y a todas las Bases de Datos de OBOTICARIO, sea en calidad de Responsable o Encargado del Tratamiento.

4. DEFINICIONES

Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de Datos Personales.
Aviso de privacidad: Es el documento físico, electrónico o en cualquier otro formato conocido o por conocer, que es puesto a disposición del Titular con el fin de informar sobre el tratamiento de sus datos personales en una base de datos específica.
Base de Datos: Conjunto organizado de datos personales que sean objeto de tratamiento.
Causahabiente: Persona que por sucesión o transmisión adquiere los derechos de otra persona, en este caso de un Titular de los Datos Personales.
Cliente: Persona natural que compra de OBOTICARIO en la tienda online, APP o en las tiendas físicas.
Datos Personales: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales, determinadas o determinables.
Datos Personales Sensibles: Aquellos Datos Personales que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos respecto el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
Empleado: Cualquier persona natural que, por vínculo contractual, pone a disposición de la compañía su capacidad laboral y de esta manera colabore con la consecución de los objetivos de OBOTICARIO.
Emprendedor: Persona natural que se inscribe en el sitio web www.emprendeoboticario.com.co y/o APP para revender productos de OBOTICARIO y que tiene beneficios como concesión de crédito y descuentos en los productos.
Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento.
Habeas Data: Derecho que tiene toda persona de conocer, actualizar y rectificar la información que se haya recogido sobre ella en archivos y bancos de datos de naturaleza pública o privada.
LEPDP: Sigla de la Ley Estatuaria 1581 de 2012 sobre la protección de Datos Personales.
Oficial de Protección de Datos: Es la persona o área dentro de OBOTICARIO encargada de velar por el cumplimiento de este Programa y de la LEPDP.
Proveedores y/o Contratistas: Personas naturales o jurídicas que prestan sus servicios personales o profesionales de conformidad con sus competencias y las necesidades de OBOTICARIO.
Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
Superintendencia de Industria y Comercio (SIC): Organismo responsable de garantizar, aplicar y hacer cumplir la legislación sobre protección de datos en todo territorio nacional.
Transferencia: Se lleva a cabo cuando el Responsable y/o Encargado del Tratamiento de Datos Personales, ubicado en Colombia, envía la información o los Datos Personales a un receptor ubicado dentro o fuera de Colombia, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.
Transmisión: Tratamiento de Datos Personales que implica la comunicación a un tercero de los Datos dentro o fuera de la República de Colombia, cuando tenga por objeto la realización de un Tratamiento por el Encargado en nombre y por cuenta del Responsable, para cumplir con las finalidades de este último.
Tratamiento: Cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
Titular: Persona natural cuyos datos personales sean objeto de tratamiento por parte de OBOTICARIO.

5. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES

OBOTICARIO aplicará los siguientes principios en el tratamiento de los datos personales:

Legalidad: El Tratamiento de Datos Personales debe sujetarse a lo establecido en la LEPDP y en las demás disposiciones que la desarrollen.
Finalidad: El Tratamiento de Datos Personales debe obedecer a una finalidad legítima de acuerdo con la normatividad vigente, la cual debe ser informada al Titular.
Libertad: El Tratamiento de Datos Personales sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
Transparencia: En el Tratamiento de Datos Personales, OBOTICARIO garantiza a los Titulares el derecho a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de Datos Personales que le conciernan.
Acceso y circulación restringida: El Tratamiento de Datos Personales se sujeta a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones de la LEPDP y la Constitución colombiana. En este sentido, la información personal sólo podrá ser accedida por personas autorizadas por el Titular y/o por las personas previstas en la LEPDP. Asimismo, los Datos Personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la LEPDP.
Seguridad: La información sujeta a tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Confidencialidad: Todas las personas que intervengan en el Tratamiento de Datos Personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la LEPDP.

6. COMPROMISOS DE OBOTICARIO

El personal en general de OBOTICARIO debe asumir un comportamiento ético que permita el Tratamiento responsable de los Datos Personales, generando una cultura de protección de los derechos de los Titulares en el desarrollo de cada una de las actividades de OBOTICARIO, teniendo en cuenta la naturaleza de los datos personales tratados, el tipo de tratamiento que se le somete a los datos personales y los riesgos que implique para los Titulares la recolección y posterior almacenamiento, uso o circulación de estes Datos Personales.

6.1. COMPROMISO DE LA ALTA DIRECCIÓN

Para que o Programa se implemente exitosamente, la Alta Dirección se compromete a brindar el apoyo y compromiso necesario para la consolidación de la cultura organizacional de respecto a la protección de los Datos Personales recogidos o tratados.

Así, en la consecución de estos objetivos, la Alta Dirección debe:

Designar una persona o área que asumirá la función de protección de los Datos Personales dentro de OBOTICARIO;
Aprobar y monitorear este Programa;
Informar de manera periódica sobre la ejecución del Programa;
Asignar recursos suficientes para el diseño e implementación de este Programa;
Establecer responsabilidades específicas para las demás áreas de OBOTICARIO respecto a la recolección, almacenamiento, uso, circulación y eliminación o disposición final de los datos personales.

6.2. COMPROMISO DEL OFICIAL DE PROTECCIÓN DE DATOS

De conformidad con el artículo 23 del Decreto 1377 de 2013, todo Responsable del Tratamiento y Encargado del Tratamiento debe designar una persona o área para asumir la función de protección de Datos Personales y que dará trámite a las solicitudes de los Titulares para el ejercicio de los derechos a que se refiere la LEPDP y el decreto.

El oficial o del área encargada de protección de datos en OBOTICARIO debe velar por la implementación efectiva de este Programa, las políticas y procedimientos adoptados, así como la implementación de buenas prácticas de gestión de Datos Personales dentro de OBOTICARIO, dentro los cuales se encuentra:

Promover la elaboración e implementación de un sistema que permita administrar los riesgos de Tratamiento de Datos Personales;
Coordinar la definición e implementación de los controles de este Programa;
Servir de enlace y coordinador con las demás áreas de OBOTICARIO para asegurar una implementación transversal del Programa;
Impulsar una cultura de protección de datos;
Mantener un inventario de las Bases de Datos en poder de OBOTICARIO y clasificarlas según su tipo;
Registrar las Bases de Datos de OBOTICARIO en el Registro Nacional de Bases de Datos y actualizar el reporte atendiendo a las instrucciones que sobre el particular emita la SIC;
Obtener las declaraciones de conformidad de la SIC cuando sea requerido;
Revisar los contenidos de los contratos de transmisiones internacionales de Datos Personales que se suscriban con Encargados del Tratamiento no residentes en Colombia;
Analizar las responsabilidades de cada cargo de OBOTICARIO, para diseñar un programa de entrenamiento en protección de Datos Personales específico para cada uno de ellos;
Realizar un entrenamiento general en protección de Datos Personales para todos los Empleados de OBOTICARIO;
Realizar el entrenamiento necesario a los nuevos Empleados, que tengan acceso por las condiciones de su empleo, a Datos Personales;
Integrar las políticas de protección de datos dentro de las actividades de las áreas de OBOTICARIO;
Medir la participación y calificar el desempeño en los entrenamientos de protección de datos.
Requerir que, dentro de la evaluación de desempeño de los Empleados, se contemple satisfactoriamente el entrenamiento sobre protección de Datos Personales.
Velar por la implementación de planes de auditoría interna para verificar el cumplimiento de sus políticas de Tratamiento de la información personal;
Acompañar y asistir OBOTICARIO en la atención a las visitas y los requerimientos que realice a la SIC;
Realizar seguimiento al Programa;
Controlar y actualizar el inventario de información personal continuamente para identificar y evaluar nuevas recolecciones, usos y divulgaciones;
Revisar las políticas siguiendo los resultados de las evaluaciones o auditorias;
Mantener como documentos históricos las evaluaciones de impacto y las de amenazas a la seguridad y riesgos;
Revisar y actualizar, en forma periódica, la formación y la educación impartida a todos los Empleados de OBOTICARIO, como el resultado de evaluaciones continuas y comunicar los cambios realizados a los controles del Programa;
Revisar y adaptar los protocolos de respuesta en el manejo de violaciones e incidentes de seguridad de la información para implementar las mejores prácticas o recomendaciones y lecciones aprendidas de revisiones posteriores a esos incidentes;
Revisar y, en su caso, modificar los requisitos establecidos en los contratos suscritos con los Encargados del Tratamiento;
Actualizar y aclarar las comunicaciones externas para explicar las políticas de Tratamiento de Datos Personales;
Reportar semestralmente ante la Alta Dirección la evolución del riesgo, los controles implementados, el monitoreo y, en general, los avances y resultados del Programa.

6.2.1. Evaluación

El Oficial de Protección de Datos de OBOTICARIO estará sujeto, no sólo a las obligaciones legales y disposiciones establecidas por la SIC, como también deberá ser evaluado anualmente a efectos de revalidación.

El Oficial de Protección de Datos interno, responsable por las operaciones nacionales de OBOTICARIO será evaluado con base en (i) comprobación de cumplimiento de metas establecidas al inicio del ejercicio; (ii) conducción de por lo menos cuatro comités de privacidad; (iii) la presentación de informes a las partes interesadas sobre los principales avances en el área de privacidad.

El Oficial de Protección de Datos externo, por su parte, será evaluado en función de (i) registro de actividades de tratamiento de datos personales; (ii) prueba de asistencia a la solicitud de los titulares; (iii) resumen de los tres mayores incidentes registrados y consecuentes orientaciones; (iv) tres recomendaciones dadas a las áreas de negocio para el cumplimiento de las respectivas legislaciones de protección de datos; y (v) prueba de su participación en eventos.

6.3. AUDITORÍA INTERNA

OBOTICARIO ha definido que el área de auditoría debe implementar planes de auditoría interna para verificar el seguimiento y la ejecución del Programa, así como el cumplimiento de sus políticas de Tratamiento de Datos Personales y señalar el procedimiento a seguir en caso de que se presenten violaciones e incidentes de seguridad de la información o se detecten riesgos en la administración de los Datos Personales de los Titulares.

6.4. REVISIÓN Y MEJORA CONTINUA

OBOTICARIO realiza revisiones continuas, teniendo en cuenta los riesgos asociados al Tratamiento de Datos Personales, monitorización de procesos y/o incidentes de seguridad de la información, con el objetivo de mejorar los procedimientos de protección de datos personales aplicados por la compañía.

En este sentido, el Oficial de Protección de Datos Personales desarrollará un plan de supervisión y revisión anual, en lo cual se establecerá las medidas de desempeño, el estado de cumplimiento de la compañía frente a cada uno de los controles que componen el Programa, así como un calendario de cuándo deben ser revisadas los controles, políticas y procedimientos de este Programa.

El Oficial de Protección de Datos Personales elaborará y presentará ante la Alta Dirección un informe detallando los hallazgos de las revisiones del Programa. Este informe debe contener detalles respecto (i) las últimas amenazas y riesgos al Tratamiento de Datos Personales detectados en la compañía; (ii) la eficacia y adecuación de los controles implantados frente a las nuevas amenazas y riesgos o las orientaciones de la SIC; (iii) si la compañía está recolectando, utilizando o divulgando datos personales en mayor cantidad; y (iv) si se lleva a cabo una formación eficaz, si los procedimientos son respetados y si el Programa está actualizado.

7. INVENTARIO DE BASES DE DATOS

Bases de Datos son los conjuntos organizados de Datos Personales (sensibles o no) que sean objeto de Tratamiento para el cumplimiento de finalidades específicas.

Así, OBOTICARIO ha identificado y clasificado sus Bases de Datos donde contienen los Datos Personales de los Clientes, Emprendedores, Empleados, Proveedores y Contratistas, las cuales son registradas y actualizadas en el Registro Nacional de Bases de Datos, de la siguiente manera:

Trabajadores historia laboral;
Gestión de trabajadores;
Sistema de gestión seguridad y salud en el trabajo;
Clientes y aliados;
Gestión clientes y aliados;
Gestión proveedores y contratistas;
Soportes contables;
Terceros contables;
Información accionistas;
Videovigilancia;
Marketing y publicidad;
Consultores;
Emprendedores;
Gestión de consultores;
Gestión de emprendedores; y
Controlbiometrico.

8. CATEGORÍAS DE DATOS PERSONALES

OBOTICARIO está comprometido con la privacidad de los Titulares y con la protección de los Datos Personales. Por lo tanto, en desarrollo del principio de seguridad, OBOTICARIO ha adoptado los niveles de seguridad de protección de los Datos Personales legalmente requeridos por la legislación colombiana, y ha instalado todos los medios y medidas técnicas a su alcance para evitar la pérdida, mal uso, alteración, uso o acceso no autorizado o fraudulento de los Datos Personales mediante la implementación de procedimientos físicos, electrónicos y administrativos facilitados de acuerdo con la legislación vigente.

8.1. Datos Personales de Clientes

OBOTICARIO recolecta los datos personales de sus Clientes finales a través del registro o navegación en el sitio web o APP y los almacena en Bases de Datos que son calificadas por la empresa como de reserva, y solo serán reveladas con la expresa autorización del titular o cuando una Autoridad Competente lo solicite.

Los Datos Personales recopilados de los Clientes serán:

Nombre y apellido, nacionalidad, cédula de ciudadanía, número de teléfono (móvil y/o residencial), dirección de entrega, correo electrónico, género (opcional) y fecha de nacimiento;
Biometría facial y datos bancarios (banco, agencia y cuenta)
Historial de compra e informaciones de la compra;
Usuario y contraseña, dirección IP y geolocalización; y
Cookies de funcionamiento del sitio web.

8.2. Datos Personales de Emprendedores

OBOTICARIO recolecta los Datos Personales de sus Emprendedores (as) a través del registro y/o acceso en el sitio web o APP y los almacena en bases de datos que son calificadas por la empresa como de reserva, y solo serán reveladas con la expresa autorización del titular o cuando una Autoridad Competente lo solicite.

Los datos personales recopilados a través del registro y/o acceso en el sitio web serán:

Nombre y apellido, cédula de ciudadanía, número de teléfono (móvil y residencial), correo electrónico, fecha de nacimiento y estado civil;
Copias de documentos que contengan fotografía;
Biometría facial, número de tarjeta de crédito en hash, tarjeta de dirección, IP de entrada, monto de la transacción, código postal, y comportamiento al usar el Sitio o el APP;
Información de ubicación, dirección de entrega y comprobante de domicilio;
Productos comprados, número de pedido e informaciones de la compra, incluyendo historial de compra;
Salario y otros ingresos (tabla salarial), información crediticia, primeros dígitos de la tarjeta, datos bancarios (banco, agencia y cuenta) y otros tipos de información financiera;
Usuario y contraseña (cuenta de registro);
Dirección IP, geolocalización y grabación de la asistencia; y
Cookies de funcionamiento del sitio web.

Los Datos Personales recopilados a través del acceso en el APP serán:

Código GERA y contraseña;
Número de teléfono móvil y correo electrónico;
Dirección completa y dirección de entrega;
Informaciones de crédito;
Importe;
Unidad de mantenimiento de existencias (o SKU – Stock Keeping Unit); Y
Historial de compra, factura, importe pagado e informaciones del método de pago.

8.3. Datos Personales de Empleados y ex Empleados

OBOTICARIO recolecta los datos personales de sus Empleados, los cuales son calificados por la compañía como de reserva, y solo serán revelados por la empresa con la expresa autorización del titular o cuando una Autoridad Competente lo solicite.

La Base de Datos tiene información de Empleados actuales, practicantes, ex Empleados y de las personas físicas que desean convertirse en Empleados, pues así se tiene trazabilidad de la información de las personas que han hecho parte de los procesos y facilita el brindarles información en los procesos de certificaciones que las personas requieran.

Los Datos Personales recopilados a través de los currículos o de solicitud formal, verba o escrito a los Empleados serán:

Nombre y apellido, documento de identidad, nacionalidad, número de teléfono (móvil y residencial), correo electrónico, género, fecha de nacimiento, estado civil y dirección;
Fotografía, biometría facial y/o impresión digital;
Número de hijos, entidades de afiliación, nombres de padres y/o familiares;
Escolarización, fecha de admisión, número de identificación y registro funcional;
Salario y datos bancarios (banco, agencia y cuenta); y
Informaciones sanitarias y tipo de discapacidad (cuando aplicable).

8.4. Datos Personales de Proveedores y Contratistas

OBOTICARIO recolecta los datos personales de sus Proveedores y Contratistas y los almacena en una Base de Datos,la cual es calificada por la compañía como de reserva, y que, en el caso de datos privados, solo los revelará por la empresa con la expresa autorización del titular o cuando una Autoridad Competente lo solicite.

OBOTICARIO sólo recopilará de sus Proveedores y Contratistas los datos que sean necesarios, pertinentes y no excesivos para la finalidad de selección, evaluación y ejecución del contrato a que haya lugar.

En este sentido, los Datos Personales recopilados a través de los registros de Proveedores y Contratistas serán:

Nombre y apellido, documento de identidad, número de teléfono, correo electrónico y dirección; y
Datos bancarios (banco, agencia y cuenta).

9. FINALIDADES DEL TRATAMIENTO DE DATOS PERSONALES

En la presente sección se establecen las finalidades de Tratamiento de los Datos Personales, según la categoría de Titulares a los que se refiera. En este sentido, las finalidades asignadas a cada categoría se han analizado desde el cumplimiento de los principios de la regulación aplicable, y especialmente del principio de necesidad.

OBOTICARIO informará expresamente a los Titulares al momento de obtener la autorización sobre las finalidades aplicables de manera específica.

En todo caso, los Datos Personales no serán objeto de Tratamiento por un período superior al tiempo que dure la relación del Titular con OBOTICARIO, y el tiempo adicional que se requiera de acuerdo con las circunstancias legales o contractuales que hagan necesario el manejo de los datos personales. Una vez cumplida la o las finalidades se procederá a la supresión de los Datos Personales de los Titulares.

9.1. Tratamiento de Datos Personales de Clientes

Las finalidades para las cuales son utilizados los datos personales de los Clientes serán:

Registro en el sitio web para la creación y gestión de acceso, así como gestión de la relación comercial cuando el Cliente compra productos en tienda física, online y/o App;
Fines de seguridad, gestión de Clientes, así como gestión contable, fiscal y administrativa cuando aplicable;
Encuestas de satisfacción sobre servicios y productos de OBOTICARIO;
Envío de comunicaciones de marketing, noticias y promociones de interés del Cliente;
Para responder a las preguntas de los Clientes cuando se ponen en contacto a través de las redes sociales, tales como Instagram, Facebook y YouTube;
Gestión de acceso, investigación de fraudes y accesos indebidos a la cuenta de registro; y
Análisis de la información de navegación en el sitio Web.

9.2. Tratamiento de Datos Personales de Emprendedores

Las finalidades para las cuales son utilizados los Datos Personales de los Emprendedores serán:

(A). Sitio web

Registro en el Sitio y/o APP, gestión de la relación comercial entre OBOTICARIO y Emprendedor y verificación de las condiciones requeridas para vincularse como Emprendedor (por ejemplo, verificar que la persona natural es mayor de edad);
Contacto entre OBOTICARIO y Emprendedor;
Confirmación de la identidad de la persona natural;
Confirmación de la identidad de la persona natural en el proceso de integración y registro, así como para realizar validaciones antifraude durante o registro o en el proceso de compra, incluyendo análisis por métodos estadísticos;
Envío de catálogos de productos, así como de recordatorios de pago y de encuestas puntuales;
Envío de los productos adquiridos y para confirmar la dirección de envío del kit de inicio;
Proceso de las facturas y los pagos, lo que puede incluir la validación de documento de identidad de la persona natural y análisis para la detección de posibles fraudes, informar del seguimiento del pedido, así como para métricas de ventas y conversión;
Análisis de crédito para liberación de crédito, así como análisis antifraude e informaciones sobre pagos;
Gestión de acceso, investigación de fraudes y accesos indebidos a la cuenta de registro; y
Análisis de la información de navegación.

(B). APP

Acceso a la página del Emprendedor en el APP;
Consulta de los datos de su registro por parte del Emprendedor;
Información donde será entregado el pedido y cuál es la dirección de entrega en registro de Emprendedor;
Consulta del saldo de compra disponible utilizando el crédito de OBOTICARIO;
Consulta del valor de los productos;
Busca de un producto; y
Consulta sobre cómo pagar el pedido y las informaciones del pedido.

9.3. Tratamiento de datos personales de Empleados y ex Empleados

Las finalidades para las cuales son utilizados los Datos Personales de los Empleados y ex Empleados serán:

Análisis de informaciones generales de los Empleados, incluyendo análisis con fines de compensación;
Seguridad y control de ingreso a las instalaciones de OBOTICARIO, así como control de horario;
Contactar a familiares de los Empleados en casos de emergencia;
Dar cumplimiento a las obligaciones que impone la ley laboral colombiana a los empleadores, o bien las órdenes que impartan las autoridades colombianas competentes;
Emitir certificaciones relativas a la relación del Empleado con OBOTICARIO;
Cumplir con las obligaciones impuestas a OBOTICARIO como empleador, en relación con las normas de Seguridad y Salud Ocupacional, y el denominado Sistema de Gestión de Seguridad y Salud en el Trabajo (SG SST);
Gestionar las funciones desarrolladas por los Empleados;
Consultar memorandos o llamados de atención;
Desarrollar y aplicar el proceso disciplinario;
Transferir los Datos Personales a la casa matriz ubicada en Brasil con las finalidades de evaluación de desempeño, encuestas de engagement y clima corporativo, educación y comunicación corporativa, análisis de indicadores de recursos humanos; y
Análisis de currículos.

9.4. Tratamiento de Datos Personales de Proveedores y Contratistas

Las finalidades para las cuales son utilizados los Datos Personales de los Proveedores y Contratistas de OBOTICARIO serán:

Gestión de Proveedores y Contratistas; y
Gestión de facturación y utilización de la información fiscal y bancaria recogida con el fin de poder realizar los pagos, recibir facturas y reportar las transacciones al Gobierno Colombiano de acuerdo con la normatividad vigente.

9.5. Tratamiento de Datos Personales Sensibles

De acuerdo con el artículo 6.º de la LEPDP, OBOTICARIO restringirá el Tratamiento de Datos Personales Sensibles a lo estrictamente indispensable y solicitará consentimiento previo y expreso a los Titulares informando sobre la finalidad exclusiva de su tratamiento.

Actualmente, OBOTICARIO recolecta datos biométricos de sus clientes en las tiendas de uso comercial a través de sus Cámaras de Vigilancia y luego se borran.

OBOTICARIO también recolecta Datos Personales Sensibles de sus Empleados, tales como biometría facial a través de sus Cámaras de Vigilancia, impresión digital, informaciones a respecto de salud y discapacidad cuando aplicable, así como recoleta biometría facial y copias de documentos que contengan fotografías de las personas que desean convertirse en Emprendedores.

Las finalidades para las cuales son utilizadas los Datos Personales Sensibles descritos anteriormente serán:

Controlar el acceso físico de los Empleados a las instalaciones de la compañía;
Garantizar la seguridad en las tiendas de uso comercial;
Velar por la seguridad de los Clientes que concurren a las tiendas físicas; y
Procesar y verificar automáticamente las solicitudes e identidades de las personas que desean convertirse en Emprendedores.

Para cumplir con el deber de información que le corresponde a OBOTICARIO como Responsable del Tratamiento, la empresa implementará Avisos de Privacidad en las zonas en donde se realice la captura de imágenes que impliquen Tratamiento de Datos Personales.

9.6. Tratamiento de datos de niños, niñas y adolescentes

OBOTICARIO no realiza activamente la recolección de Datos Personales de menores de edad. Sin embargo, de forma particular, OBOTICARIO recolecta y trata los Datos Personales de los hijos menores de edad de sus Empleados, con la única finalidad de cumplir con las obligaciones que impone la ley a los empleadores en relación con las afiliaciones a sistema de seguridad social y parafiscales, y en particular para permitir el disfrute de los derechos fundamentales de los niños, niñas y adolescentes a la salud y a la recreación.

En el caso en que, como consecuencia de las actividades comerciales de OBOTICARIO, se identifique que se ha recolectado información de menores de edad, se procederá de manera inmediata con la eliminación de dicha información.

10. AUTORIZACIÓN DEL TITULAR DE DATOS PERSONALES

Sin perjuicio de las excepciones previstas en la LEPDP, por regla general en el Tratamiento de Datos Personales se requiere la autorización previa, expresa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, ya sea un medio físico o electrónico.

En este sentido, no es necesario obtener autorización cuando se trate de:

Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
Datos de naturaleza pública;
Casos de urgencia médica o sanitaria;
Tratamiento para fines históricos, estadísticos o científicos en los cuales no se vincule la información a una persona específica;
Datos relacionados con el Registro Civil de las Personas.

Para obtener la autorización es necesario informarle al Titular lo siguiente:

El Tratamiento al cual serán sometidos sus Datos Personales y la finalidad;
El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos Personales Sensibles o sobre los datos de las niñas, niños y adolescentes;
Los derechos que le asisten como Titular;
La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Por lo tanto, OBOTICARIO obtendrá la autorización de los Titulares de los Datos Personales que recolecta, a través de mecanismos idóneos que permitan cumplir con los requerimientos de la legislación aplicable. En todo momento, se dispondrá de los formatos y modelos para obtener las correspondientes autorizaciones.

11. RIESGOS ASOCIADOS AL TRATAMIENTO DE DATOS PERSONALES

OBOTICARIO evalúa de forma regular y sistemática los riesgos asociados al Tratamiento de Datos Personales, teniendo en cuenta la naturaleza, el alcance, el contexto y los propósitos del Tratamiento. Los riesgos pueden incluir amenazas a la seguridad de los datos, riesgos de incumplimiento legal y riesgos de violación de la privacidad.

El principal medio que OBOTICARIO emplea para gestionar estos riesgos es la elaboración de una Evaluación de Impacto en la Protección de Datos. Las Evaluaciones de Impacto en la Protección de Datos son herramientas fundamentales que permiten evaluar de manera sistemática los riesgos potenciales y proporcionan una base para implementar las medidas de mitigación adecuadas. Esta tarea es realizada a través de una plataforma especializada, que garantiza un análisis exhaustivo y sistemático de los riesgos, permitiendo a la compañía tomar decisiones informadas y efectivas en la gestión de la protección de Datos Personales.

A partir de los resultados de la evaluación de riesgos, OBOTICARIO desarrolla e implementa controles apropiados para mitigar los riesgos identificados. Estos controles pueden abarcar medidas de seguridad técnicas, como la encriptación y el control de acceso, controles administrativos, como políticas de privacidad y capacitación del personal, y controles legales, como acuerdos de confidencialidad y cláusulas contractuales.

OBOTICARIO se compromete a monitorear de forma continua los riesgos asociados con el Tratamiento de Datos Personales. A través de una serie de medidas proactivas y reactivas, la organización evalúa y revisa regularmente los riesgos inherentes al Tratamiento de Datos Personales. Esta supervisión constante permite a la compañía ajustar sus prácticas de manejo de datos a medida que cambian las circunstancias y evolucionan las amenazas, asegurando así un alto nivel de protección de los Datos Personales en todo momento. La vigilancia constante también facilita la detección y respuesta oportuna a cualquier incidente de seguridad de datos, minimizando así cualquier impacto potencial sobre la privacidad de los individuos.

La organización se esfuerza por la mejora continua de su sistema de gestión de riesgos relacionados con el Tratamiento de Datos Personales. Esto implica revisar y actualizar sus políticas y prácticas según las lecciones aprendidas, las mejores prácticas emergentes y los cambios en el entorno legal y tecnológico.

La Política refleja el compromiso de OBOTICARIO con la protección de los Datos Personales y la gestión de los riesgos asociados a su Tratamiento. Al implementar este sistema de gestión de riesgos, la organización busca garantizar el cumplimiento con sus obligaciones legales y éticas, mantener la confianza de las personas cuyos datos maneja y asegurar la sostenibilidad a largo plazo de sus operaciones.

12. DEBERES DE OBOTICARIO EN EL TRATAMIENTO DE DATOS PERSONALES

OBOTICARIO, como Responsable del Tratamiento y/o Encargado del Tratamiento de Datos Personales, cumplirá los siguientes deberes de acuerdo con los artículos 17 y 18 de la LEPDP:

12.1. Deberes de OBOTICARIO como Responsable del Tratamiento y Encargado del Tratamiento

Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
Tramitar las consultas y reclamos formulados en los términos señalados en la LEPDP;
Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la LEPDP y, en especial, para la atención de consultas y reclamos;
Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;
Cumplir las instrucciones y requerimientos que imparta la SIC.

12.2. Deberes de OBOTICARIO como Responsable del Tratamiento

Solicitar y conservar copia de la autorización otorgada por el Titular;
Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;
Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;
Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;
Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado;
Exigir al Encargado del Tratamiento, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;
Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular;
Informar a solicitud del Titular sobre el uso dado a sus datos.

12.3. Deberes de OBOTICARIO como Encargado del Tratamiento

Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la LEPDP;
Actualizar la información reportada por lo Responsable del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;
Registrar en la Base de Datos las leyendas “reclamo en trámite” en la forma en que se regula en la LEPDP;
Insertar en la Base de Datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;
Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la SIC;
Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.

13. PROTOCOLO DE RESPUESTA DE VIOLACIÓN Y MANEJO DE INCIDENTES

Los incidentes de seguridad de la información son eventos adversos capaces de generar impactos negativos en las operaciones del negocio y de comprometer la compañía, además de generar riesgos para los Titulares, por lo que es fundamental una solución rápida y eficaz cuando ocurren estas violaciones.

OBOTICARIO trabaja para evitar la ocurrencia de incidentes de seguridad de la información durante el Tratamiento y establece un área y/o persona y procedimientos de detección, identificación y solución, incluyendo medidas correctoras inmediatas, para responder a los incidentes que no hayan podido ser evitados, así como notificar a la SIC y comunicar a los Titulares, si procede. OBOTICARIO también se compromete a proporcionar herramientas a dichos Titulares afectados para minimizar el impacto de el daño causado.

En este sentido, lo protocolo de respuesta de violación y manejo de incidentes en el Tratamiento de Datos Personales sirve para garantizar la protección de los Datos Personales a través de la identificación de posibles vulnerabilidades, motivo por el cual OBOTICARIO desarrolla y mantiene una gestión de incidentes de seguridad de la información de conformidad con las disposiciones descritas na LEPDP dentro de los 15 (quince) días hábiles contados a partir del momento en que se detecte el incidente y se ponga en conocimento de la área de incidentes de seguridad, seguiendo tambien el Reglamento Interno de Gestion de incidentes de seguridad de la Información.

14. DERECHOS DE LOS TITULARES

Los Titulares de Datos Personales gozan de los siguientes derechos otorgados por la legislación:

Conocer, actualizar y rectificar sus Datos Personales frente al Responsable del Tratamiento o Encargado del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado;
Solicitar prueba de la autorización otorgada al Responsable del Tratamiento, salvo cuando expresamente se exceptúa como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la LEPDP;
Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus Datos Personales;
Presentar ante la SIC quejas por infracciones a lo dispuesto en la LEPDP y las demás normas que la modifiquen, adicionen o complementen;
Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la SIC haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a LEPDP y a la Constitución;
Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento por parte de OBOTICARIO.

15. PROCEDIMIENTOS PARA QUE LOS TITULARES DE LOS DATOS PERSONALES PUEDAN EJERCER SUS DERECHOS A CONOCER, ACTUALIZAR, RECTIFICAR Y SUPRIMIR INFORMACIÓN Y REVOCAR LA AUTORIZACIÓN DE TRATAMIENTO

En desarrollo del principio de veracidad o calidad, y en el Tratamiento de Datos Personales, OBOTICARIO adopta medidas razonables para asegurar que los Datos Personales que reposan en las Bases de Datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del Tratamiento.

15.1. Realización de solicitudes

El Titular (quien deberá acreditar su identidad), sus causahabientes (quienes deberán acreditar tal calidad), su representante y/o apoderado (previa acreditación de la representación o apoderamiento), o quien se determine por estipulación a favor de otro, podrá hacer ejercicio de sus derechos a conocer, actualizar, rectificar o suprimir información contenida en las Bases de Datos de OBOTICARIO, así como también podrán revocar la autorización otorgada para el Tratamiento de Datos Personales contactando OBOTICARIO a través del:

Correo electrónico: datospersonales@grupoboticario.com.co o
Portal: Portal de Solicitudes del titular de datos

En este procedimiento, el Titular, sus causahabientes, su representante y/o apoderado o quien se determine por estipulación a favor de otro deberá indicar:

Se es un Cliente, Emprendedor, Empleado o Proveedor;
El tipo de solicitud;
Las marcas involucradas;
Informaciones respecto del Titular, tales como nombre y apellido, correo electrónico y número de teléfono; y
Detalles respecto de la solicitud.

15.1.1. Solicitar prueba de la autorización

Los Titulares podrán solicitar prueba de la autorización, cuando dicha autorización sea requerida conforme lo previsto en la normatividad vigente.

15.1.2. Conocer, actualizar y rectificar

Los Titulares podrán solicitar información o pedir la actualización o rectificación de los Datos Personales contenidos en las Bases de Datos de OBOTICARIO. Este derecho se podrán ejercer frente a Datos Personales parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.

15.1.3. Ser informado respecto al uso que le ha dado

Los Titulares podrán solicitar información, previa solicitud, respecto la utilización que OBOTICARIO le ha dado o está dando a los Datos Personales, cuando dicha información no hubiere sido suministrada.

15.1.4. Revocar la autorización y/o solicitar la supresión

Los Titulares podrán en todo momento solicitar la revocatoria de la autorización otorgada para el Tratamiento de Datos Personales y/o la supresión de estos Datos Personales cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales a través de la presentación de un reclamo a OBOTICARIO.

La revocatoria de la autorización y la solicitud de supresión de la información no procederán cuando el Titular tenga un deber legal o contractual de permanecer en las Bases de Datos de OBOTICARIO.

15.1.5. Acceder en forma gratuita a sus datos

Los Titulares podrán acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento al menos una vez cada mes calendario, y cada vez que existan modificaciones sustanciales de las políticas de Tratamiento de OBOTICARIO que motiven nuevas consultas.

15.2. Formulación de Consultas

Los Titulares o sus causahabientes podrán consultar los Datos Personales de los Titulares que reposen en cualquier Base de Datos de OBOTICARIO.

En caso de consultas es necesario solamente contactar a OBOTICARIO a la información de contacto dispuesta en esta sección, con la identificación del Titular debidamente acreditada.

Para dar respuesta a las consultas, OBOTICARIO tendrá un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la consulta. En el evento en el que una solicitud de consulta no pueda ser atendida dentro del término antes señalado, OBOTICARIO informará al interesado los motivos de la demora por los cuales no se ha dado repuesta a su consulta y señalando la fecha en que atenderá su consulta, y dicho término no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

15.3. Formulación de Reclamos

Los Titulares o sus causahabientes que consideren que la información contenida en una Base de Datos de OBOTICARIO debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la ley, podrán presentar un reclamo ante el Responsable o Encargado del Tratamiento.

El reclamo se formulará mediante solicitud dirigida a OBOTICARIO a la información de contacto dispuesta en esta sección y debe contener la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer.

En el caso en que el reclamo resulta incompleto porque no aporte todos los documentos necesarios para tramitar la solicitud, OBOTICARIO requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, OBOTICARIO entenderá que ha desistido del reclamo.

En caso de recibido reclamo que no sea competencia de OBOTICARIO para resolverlo, se dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Una vez OBOTICARIO haya recibido el reclamo completo, incluirá en la Base de Datos una leyenda que diga “reclamo en trámite” y el motivo del reclamo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

OBOTICARIO atenderá el reclamo en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. En el evento en el que un reclamo no puedo ser atendido dentro del término antes señalado, OBOTICARIO informará al interesado los motivos de la demora por los cuales no se ha dado repuesta a su reclamo y señalando la fecha en que atenderá su reclamo, y dicho término no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

El Titular sólo podrá elevar queja ante la SIC una vez haya agotado el trámite de consulta o reclamo ante OBOTICARIO en los términos establecidos en este documento y/o en la legislación aplicable.

16. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS PERSONALES

OBOTICARIO no transfiere o transmite ningún dato a terceros sin el consentimiento previo y expreso de los Titulares de los Datos Personales, excepto cuando así lo exija la ley o la autoridad judicial.

Los Datos Personales de los Titulares pueden ser transferidos para OBOTICARIO FRANCHISING LTDA., basado en la Avenida Rui Barbosa, nº 4.110, blocos 1 y 22, distrito Parque da Fonte, municipio de São José dos Pinhais, Paraná, Brasil, a efectos de gestión centralizada de Clientes, lo cual en todo caso será informado en el consentimiento respectivo. Lo anterior, implica una Transferencia internacional de los Datos Personales a Brasil.

Igualmente, es posible que los Datos Personales sean transmitidos a subcontratistas que presten servicios asociados al Tratamiento de Datos Personales y que tengan su sede fuera de Colombia. Dichos subcontratistas únicamente tratarán los Datos Personales en nombre y por cuenta de OBOTICARIO para las finalidades autorizadas por los Titulares, lo que implica una Transmisión internacional de los Datos Personales a un tercer país. En estos casos OBOTICARIO suscribirá los correspondientes contratos de Transmisión de Datos Personales.

Algunos de los países a los que se transfieran o transmitan los Datos Personales pueden no ofrecer un nivel de protección apropiado en los términos de la LEPDP, relativo a la protección de las personas físicas en lo que respecta al Tratamiento de Datos Personales. En todo caso garantizamos el Tratamiento seguro de los Datos Personales. En este sentido, suscribimos contratos de Transmisión de datos con los subcontratistas que realicen tratamientos de datos en nombre y por cuenta de OBOTICARIO, los cuales contienen cláusulas contractuales que respetan los términos de la LEPDP.

Por otro lado, OBOTICARIO podrá obtener el consentimiento de los Titulares de los Datos Personales para compartir la información con terceros, ubicados en Colombia o en otro país, con el fin de realizar encuestas de satisfacción sobre los servicios y productos de OBOTICARIO, dichos terceros también actuarán como Encargados del Tratamiento, y se suscribirán los correspondientes acuerdos de Transmisión de Datos Personales.

De conformidad con la autorización que otorguen los Titulares, podremos transferir los datos a terceros en el caso de transacciones y cambios societarios que impliquen a OBOTICARIO, teniendo en cuenta que la Transferencia de información es necesaria para la continuidad de la prestación de los servicios. Si esto ocurre, dicha Transferencia se le informará a los Titulares de los Datos Personales de manera anticipada o más tardar al momento en que ocurra, y se notificarán las nuevas políticas aplicables.

En todo caso, además de contar con la autorización expresa e inequívoca por parte del Titular, OBOTICARIO se asegurará que la acción proporciona los niveles adecuados de protección de datos y atiende a los requisitos fijados en Colombia por la LEPDP y sus decretos reglamentarios.

De otro lado, cuando OBOTICARIO, decida realizar Transmisión Internacional de Datos Personales que se efectúen entre Responsable y Encargado del Tratamiento para permitir que el Encargado realice el Tratamiento por cuenta del Responsable podrá hacerlo sin autorización de los titulares, siempre y cuando garantice la seguridad de la información, confidencialidad y las condiciones que regulen el alcance del Tratamiento de los Datos Personales, y en la medida en que se suscriban los correspondientes acuerdos de Transmisión de Datos Personales.