Política de Tratamiento de Datos Personales

1. Responsable del tratamiento

Alcance: aplica a ADA y a sus matrices, filiales, sucursales y empresas del mismo grupo empresarial, sobre todas las bases de datos bajo su responsabilidad.

Aceptación: quien acepta la política declara ser titular legítimo de los datos (o tener autorización para entregarlos) y tener capacidad legal.

2. Definiciones clave

• Autorización: consentimiento previo, expreso e informado del titular.
• Base de datos: conjunto organizado de datos personales.
• Dato personal: información asociable a una persona natural identificable.
• Dato sensible: afecta la intimidad o puede causar discriminación (origen étnico, política, religión, sindicatos, salud, vida sexual, biométricos).
• Responsable: decide sobre la base de datos y su tratamiento.
• Encargado: trata datos por cuenta del responsable.
• Titular: persona natural dueña de los datos.
• Transferencia: envío de datos a otro responsable (dentro o fuera de Colombia).
• Transmisión: comunicación de datos a un encargado para que los trate por cuenta del responsable.
• Tratamiento: cualquier operación (recolectar, almacenar, usar, circular, suprimir).

3. Principios aplicados

1. Legalidad
2. Finalidad
3. Libertad (autorización previa y expresa)
4. Veracidad o calidad
5. Transparencia
6. Acceso y circulación restringida
7. Seguridad
8. Confidencialidad

4. Finalidades del tratamiento

Operación y cumplimiento legal

• Desarrollar el objeto social y cumplir obligaciones legales, contractuales y estatutarias.
• Obligaciones con accionistas, laborales y de seguridad social (empleados, exempleados y candidatos).
• Verificaciones SARLAFT: lavado de activos, financiación del terrorismo, soborno transnacional y corrupción.
• Seguridad y vigilancia de instalaciones e información.

Comercial y marketing

• Gestión de relación con clientes, prospectos y grupos de interés.
• Análisis de tendencias, preferencias y hábitos.
• Comunicación de productos, ofertas, eventos, alianzas, concursos y contenidos.
• Campañas en sitio web, Facebook y otros medios.
• Contactos promocionales propios o de aliados comerciales.
• Encuestas sobre servicios.

Financiero y riesgo crediticio

• Consulta en centrales de riesgo (Datacrédito/Experian, Cifin/TransUnion u otras) para estudios de crédito, verificación y cobranza.
• Reporte a centrales de riesgo del cumplimiento o incumplimiento de obligaciones.
• Tratamiento de datos financieros de pagos por servicios.

Terceros y grupo

• Compartir datos con contratistas que prestan servicios a ADA.
• Intercambio con matrices, filiales, aliados y entidades financieras (riesgo, pagos, alianzas, estadística, publicidad).
• Transferencia a terceros para actividades del objeto social.

Otros

• Referencias laborales.
• Registro de transacciones, uso y cookies para servicios en internet.

Casos en que no se requiere autorización

• Datos de naturaleza pública.
• Urgencias médicas o sanitarias.
• Tratamiento autorizado por ley.

Mecanismo: cada canal de recolección debe tener texto de autorización, aviso de privacidad o casilla de aceptación (en medios digitales).

5. Datos sensibles y menores

• Biométricos (rostro, huella, retina, voz, firma) y demás datos sensibles reciben protección reforzada.
• Uso restringido a obligaciones contractuales, legales o finalidades autorizadas expresamente. Nunca para marketing ni venta de bases sin autorización previa.
• Entregar datos sensibles es opcional para el titular.
• Menores: solo excepcionalmente (hijos de empleados, administradores y colaboradores), con autorización expresa del representante legal.

6. Derechos del titular

• Conocer, actualizar y rectificar sus datos.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso dado a sus datos.
• Quejarse ante la Superintendencia de Industria y Comercio (SIC), tras agotar consulta o reclamo ante la empresa.
• Revocar la autorización o pedir la supresión.
• Acceso gratuito al menos una vez por mes calendario y cada vez que haya cambios sustanciales en la política.

Quién puede ejercerlos: el titular (acreditando identidad), sus causahabientes, su representante o apoderado, o un tercero por estipulación a favor de otro.

7. Transferencias y transmisiones

• Al aceptar la política, el titular admite que ADA transfiera o transmita sus datos a su matriz, subordinadas o terceros, en Colombia o en el exterior.
• Quien recibe los datos asume el rol de encargado, con las mismas obligaciones de seguridad.
• ADA puede revocar en cualquier momento la autorización dada al encargado.
• Los terceros solo pueden usar los datos mientras dure el vínculo y para los usos definidos.
• La transmisión se hace con mecanismos de seguridad adecuados.
• ADA puede ceder su calidad de responsable a un tercero que cumpla la política y la ley.

8. Procedimiento de consultas y reclamos

• Canal: correo electrónico, a soporte@ada.co.
• También existe mecanismo para reclamos de actualización, rectificación, supresión o revocatoria.

9. Cambios a la política

• ADA puede modificarla unilateralmente; la vigente estará en el sitio web.
• Los cambios sustanciales se comunican al titular.
• Se conservan versiones anteriores.
• Si el titular no se opone en 30 días tras la notificación, se entiende que acepta.

10. Seguridad de la información

• Medidas técnicas, humanas y administrativas contra adulteración, pérdida o acceso no autorizado.
• Obligación de reportar incidentes (pérdida, fuga o ataque) al titular por medios efectivos (web, redes, correo) y gestionarlos según la ley.

Medidas aplicadas:

• Antivirus y firewalls
• Perfiles de usuario y control/monitoreo de accesos
• Copias de respaldo periódicas
• Videovigilancia y control de acceso físico
• Registro de consultas
• Actualización periódica de políticas y procedimientos
• Seguimiento normativo y de requisitos legales
• Capacitación en seguridad de la información
• Revisiones de procedimientos y documentación

Vigencia: desde el 1 de marzo de 2023.
Firma: César Augusto Echeverri Pérez, Director Ejecutivo.