Política de Tratamiento de Datos Personales
POLITICAS PARA EL TRATAMIENTO DE DATOS PERSONALES
TRANSFER X SAS
NIT: 901.914.934-5
La protección de los datos personales constituye un elemento fundamental para el desarrollo responsable de las actividades empresariales y para la generación de relaciones basadas en la confianza, la transparencia y el respeto por los derechos de las personas. En este contexto, el adecuado manejo de la información personal requiere establecer criterios que orienten su utilización y permitan prevenir tratamientos que puedan afectar los derechos de sus titulares. La transformación digital y el desarrollo de soluciones tecnológicas para la realización de operaciones y servicios de alcance transfronterizo implican el manejo de información personal a través de diferentes procesos, sistemas, plataformas y canales de comunicación. Esta dinámica hace necesario incorporar la protección de datos como un componente transversal de la gestión de la información, desde su obtención hasta las distintas actividades que puedan realizarse sobre ella.
El tratamiento de datos personales se encuentra sujeto al derecho fundamental al habeas data reconocida por el artículo 15 de la Constitución Política de Colombia y a las disposiciones que desarrollan este derecho. Por esta razón, las actividades relacionadas con información personal deben adelantarse bajo condiciones que permitan garantizar los derechos de los titulares y observar los principios y obligaciones establecidos en la normativa vigente.
La presente Política establece los lineamientos generales que orientan el tratamiento de datos personales, procurando que la información sea utilizada únicamente para finalidades legítimas y determinadas, que exista transparencia frente a los titulares y que se adopten medidas adecuadas para preservar su seguridad y confidencialidad. Asimismo, constituye un referente para las personas que intervienen en actividades relacionadas con el tratamiento de información personal y para los terceros que, de acuerdo con la naturaleza de su relación, puedan acceder o intervenir en su gestión.
Este documento se articula con el Manual de Tratamiento y Protección de Datos Personales, que desarrolla los mecanismos internos y aspectos operativos necesarios para llevar estos lineamientos a la práctica. Con esta Política se establece un marco de actuación orientado al cumplimiento de la legislación colombiana sobre protección de datos personales y a la adopción de prácticas responsables en el manejo de la información, atendiendo las características propias de una operación soportada en herramientas tecnológicas y canales digitales.
La presente Política tendrá alcance corporativo e internacional y será aplicable al tratamiento de datos personales realizado en Colombia, en los países de América donde TRANSFER X S.A.S. desarrolle actividades y en las demás jurisdicciones en las que se encuentre sujeta a obligaciones relacionadas con la protección de datos personales, de acuerdo con las disposiciones locales que resulten aplicables.
La presente Política tiene por objeto establecer los lineamientos generales que orientan el tratamiento de los datos personales que sean recolectados, administrados o tratados por TRANSFER X S.A.S. en desarrollo de sus actividades, garantizando que dicho tratamiento se realice de manera lícita, transparente, segura y acorde con las finalidades para las cuales la información haya sido obtenida.
En este sentido, la Política establece los criterios que deben observarse para la recolección, almacenamiento, uso, circulación, actualización, consulta, transmisión, transferencia y, en general, para cualquier operación que implique tratamiento de datos personales bajo responsabilidad de TRANSFER X S.A.S., independientemente del medio o tecnología empleada.
De igual manera, tiene como propósito establecer las garantías necesarias para el ejercicio de los derechos de los titulares de los datos personales, así como los compromisos y deberes que debe observar la empresa y las personas o terceros que intervengan en actividades relacionadas con el tratamiento de dicha información.
La presente Política busca integrar la protección de los datos personales dentro de las actividades y procesos de TRANSFER X S.A.S., considerando las características propias de su operación como empresa de base tecnológica orientada a facilitar soluciones para pagos transfronterizos y el uso de plataformas y canales digitales para la prestación de sus servicios.
Las disposiciones contenidas en esta Política se complementan con el Manual de Tratamiento y Protección de Datos Personales de TRANSFER X S.A.S., en el cual se desarrollan los procedimientos, responsabilidades y mecanismos internos destinados a implementar estos lineamientos.
La presente Política tendrá aplicación en Colombia, en los países de América donde TRANSFER X S.A.S. desarrolle actividades y en las demás jurisdicciones en las que se encuentre sujeta a obligaciones relacionadas con la protección de datos personales, observando en cada caso las disposiciones locales que resulten aplicables.
La presente Política aplica a TRANSFER X S.A.S. respecto de los datos personales que se encuentren bajo su responsabilidad y que sean objeto de tratamiento en desarrollo de sus actividades, independientemente de que la información haya sido recolectada directamente por la sociedad o a través de terceros autorizados, cuando ello resulte procedente.
La presente Política será aplicable en Colombia, en los países de América donde TRANSFER X S.A.S. desarrolle actividades y en las demás jurisdicciones en las que se encuentre sujeta a obligaciones en materia de protección de datos personales, sin perjuicio de las disposiciones locales que resulten aplicables en cada caso.
Su aplicación comprende los tratamientos realizados respecto de información de personas naturales que mantengan o hayan mantenido alguna relación con TRANSFER X S.A.S., incluyendo, según corresponda, usuarios, clientes, potenciales clientes, representantes legales, accionistas o beneficiarios finales de personas jurídicas vinculadas, trabajadores, contratistas, proveedores, aliados comerciales y demás terceros cuyos datos personales sean tratados por la sociedad. La Política será aplicable a los tratamientos efectuados mediante medios físicos, electrónicos, digitales, tecnológicos, plataformas, aplicaciones, formularios, canales de comunicación y demás herramientas utilizadas por TRANSFER X S.A.S. para el desarrollo de sus actividades.
Asimismo, sus disposiciones deberán ser observadas por los administradores, trabajadores, contratistas, colaboradores y demás personas que actúen en nombre o por cuenta de TRANSFER X S.A.S., así como por los encargados del tratamiento y terceros que, de acuerdo con la relación contractual o comercial correspondiente, tengan acceso a datos personales bajo responsabilidad de la sociedad.
El alcance de esta Política comprende los datos personales tratados durante las diferentes etapas de la relación con el titular, desde su recolección y vinculación hasta su almacenamiento, utilización, circulación, actualización, conservación y, cuando corresponda, supresión, de acuerdo con las finalidades autorizadas y las obligaciones legales aplicables.
Cuando TRANSFER X S.A.S. utilice proveedores tecnológicos, plataformas o terceros que intervengan en el tratamiento de datos personales, se deberán establecer las condiciones necesarias para garantizar la protección de la información y el cumplimiento de las obligaciones previstas en la normativa colombiana aplicable.
La presente Política se fundamenta en las disposiciones legales y regulatorias aplicables en materia de protección de datos personales en las jurisdicciones donde TRANSFER X S.A.S. desarrolle actividades o se encuentre sujeta a obligaciones en esta materia.
En particular, esta Política se fundamenta en las siguientes disposiciones:
- Constitución Política de Colombia, especialmente el artículo 15, que reconoce el derecho de todas las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bancos de datos y archivos, así como el derecho a la intimidad y al buen nombre.
- Ley 1581 de 2012, por la cual se establecen disposiciones generales para la protección de datos personales y se desarrollan los derechos de los titulares, los deberes de los responsables y encargados del tratamiento y las condiciones para el tratamiento de información personal.
- Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en lo relacionado con la reglamentación aplicable al tratamiento de datos personales y las disposiciones contenidas en el Capítulo 25 de la Parte 2 del Libro 2.
- Ley 1273 de 2009, en lo relacionado con las disposiciones penales orientadas a la protección de la información y de los datos frente a conductas que afecten su confidencialidad, integridad o disponibilidad.
- Ley 1712 de 2014, cuando resulte aplicable, respecto de las disposiciones relacionadas con el acceso a la información y las excepciones asociadas a la información sometida a reserva o protección legal.
- Las demás normas, decretos, reglamentos, circulares y disposiciones expedidas por las autoridades competentes que modifiquen, adicionen o desarrollen el régimen colombiano de protección de datos personales y que resulten aplicables al tratamiento realizado.
La aplicación de este marco normativo deberá atender la naturaleza de los datos tratados, las finalidades correspondientes y las circunstancias particulares de cada tratamiento. En consecuencia, cuando una disposición establezca requisitos especiales para determinada categoría de información o actividad, estos deberán observarse de manera complementaria a las reglas generales de protección de datos personales.
En las demás jurisdicciones donde TRANSFER X S.A.S. desarrolle actividades o se encuentre sujeta a obligaciones en materia de protección de datos personales, se observarán las disposiciones locales que resulten aplicables.
Para efectos de la presente Política, los términos que se indican a continuación tendrán el significado establecido en la normativa colombiana aplicable y, cuando corresponda, el siguiente:
- Autorización: Consentimiento previo, expreso e informado otorgado por el titular para llevar a cabo el tratamiento de sus datos personales, cuando este sea requerido.
- Base de datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
- Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
- Dato público: Dato que no sea semiprivado, privado o sensible y que pueda ser obtenido y tratado sin restricciones diferentes a las establecidas en la normativa aplicable.
- Dato sensible: Información que afecta la intimidad del titular o cuyo uso indebido puede dar lugar a discriminación. Comprende, entre otros, datos relacionados con el origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a organizaciones, así como información relativa a la salud, vida sexual y datos biométricos.
- Datos biométricos: Datos personales obtenidos a partir de un tratamiento técnico específico relativos a las características físicas, fisiológicas o comportamentales de una persona que permitan o contribuyan a identificarla o autenticar su identidad.
- Encargado del tratamiento: Persona natural o jurídica, pública o privada, que realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
- Habeas data: Derecho fundamental que permite a las personas conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos o archivos, así como ejercer los demás derechos reconocidos por la Constitución y la ley frente al tratamiento de sus datos personales.
- Legislación aplicable: Conjunto de normas legales, regulatorias y demás disposiciones obligatorias que resulten aplicables al tratamiento de datos personales, atendiendo a la jurisdicción, actividad, titular, operación o relación jurídica correspondiente.
- Responsable de la protección de datos personales: Persona designada por la sociedad para coordinar y apoyar las actividades relacionadas con el cumplimiento de las obligaciones en materia de protección de datos personales y la atención de los titulares, de acuerdo con las funciones asignadas.
- Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en conjunto con otros decide sobre la base de datos y/o el tratamiento de los datos personales.
- Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
- Transferencia: Comunicación de datos personales a un tercero para que realice determinadas operaciones de tratamiento por cuenta de TRANSFER X S.A.S. o del responsable correspondiente, de acuerdo con las condiciones establecidas en la legislación aplicable..
- Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio colombiano cuando tenga por objeto la realización de un tratamiento por parte de un encargado por cuenta del responsable.
- Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, tales como la recolección, almacenamiento, uso, consulta, actualización, circulación, transmisión, transferencia, supresión o cualquier otra actividad relacionada con estos.
El tratamiento de datos personales realizado por TRANSFER X S.A.S. se desarrollará de conformidad con los principios reconocidos en la legislación aplicable en cada jurisdicción y, en particular, observará los siguientes principios:
- Principio de acceso y circulación restringida: El tratamiento de los datos estará sujeto a los límites establecidos por la naturaleza de los mismos, la ley y las autorizaciones otorgadas por el titular. El acceso y circulación estarán restringidos a las personas autorizadas.
- Principio de confidencialidad: Las personas que intervengan en el tratamiento de datos personales estarán obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con las actividades que comprenden el tratamiento.
- Principio de finalidad: Los datos personales serán tratados para una finalidad legítima, determinada, clara y previamente informada al titular.
- Principio de legalidad: El tratamiento de datos personales deberá realizarse conforme a las disposiciones legales y reglamentarias aplicables.
- Principio de libertad: El tratamiento de datos personales se realizará con el consentimiento previo, expreso e informado del titular, salvo las excepciones establecidas en la ley.
- Principio de responsabilidad demostrada: El tratamiento de datos personales se desarrollará observando los principios establecidos en la Ley 1581 de 2012 y las medidas de responsabilidad demostrada que resulten aplicables.
- Principio de seguridad: Los datos personales serán objeto de las medidas técnicas, humanas y administrativas necesarias para garantizar su seguridad y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
- Principio de transparencia: El titular tendrá derecho a obtener información sobre la existencia de los datos que le conciernen y sobre el tratamiento al que estos sean sometidos.
- Principio de veracidad o calidad: Los datos personales objeto de tratamiento deberán ser veraces, completos, exactos, actualizados, comprobables y comprensibles.
TRANSFER X SAS en el desarrollo de su actividad económica, realiza el tratamiento de datos personales de personas naturales contenidos en bases de datos destinadas al cumplimiento de finalidades legítimas y determinadas, relacionadas principalmente con la operación, gestión y prestación de servicios asociados a pagos y transferencias transfronterizas, así como con las actividades propias del desarrollo de su objeto social.
El tratamiento de los datos personales podrá realizarse en Colombia, en otros países de América y en las demás jurisdicciones en las que TRANSFER X S.A.S. desarrolle actividades, preste sus servicios o se encuentre sujeta a obligaciones legales o regulatorias, de acuerdo con las disposiciones aplicables en cada jurisdicción.
Asimismo, los datos personales podrán ser tratados por UTRUX ENERGY S.A.S., identificada con NIT 901.703.290-5, y por TRUX SV, identificada con NIT 0623-110425-127-0, en el marco de las actividades, servicios y relaciones comerciales u operativas que correspondan y de acuerdo con las finalidades informadas al titular.
El tratamiento podrá comprender la recolección, registro, almacenamiento, consulta, verificación, actualización, utilización, circulación, transmisión, transferencia y supresión de datos personales, de acuerdo con la naturaleza de la información, la relación existente con el titular y las finalidades que correspondan.
Los datos podrán ser tratados para gestionar procesos de vinculación y conocimiento de clientes y contrapartes, verificar la identidad de las personas, realizar procesos de debida diligencia, validar información suministrada, gestionar operaciones y relaciones comerciales, y cumplir las obligaciones legales, regulatorias y contractuales aplicables.
Asimismo, podrán realizarse tratamientos relacionados con la prevención y gestión de riesgos de fraude, lavado de activos, financiación del terrorismo y otras conductas ilícitas, así como con la seguridad, trazabilidad y monitoreo de las operaciones, cuando ello resulte necesario o sea exigido por la normativa aplicable.
Para el desarrollo de estas actividades podrán intervenir proveedores tecnológicos, entidades financieras, aliados comerciales y otros terceros que presten servicios relacionados con procesos de identificación, validación, operación, custodia, seguridad, monitoreo o gestión de las operaciones. Cuando su participación implique acceso a datos personales, se establecerán las condiciones necesarias para garantizar el tratamiento adecuado de la información.
Las principales finalidades del tratamiento serán las siguientes:
- Validación de identidad.
- Gestionar la vinculación, identificación y actualización de clientes, usuarios, representantes legales, beneficiarios finales, proveedores, aliados y demás personas relacionadas.
- Realizar procesos de conocimiento del cliente y de debida diligencia, incluyendo la validación y verificación de la información suministrada.
- Gestionar y soportar las operaciones de pagos, transferencias y demás servicios transfronterizos que correspondan.
- Cumplir obligaciones legales, regulatorias, contractuales y requerimientos de autoridades competentes.
- Prevenir, detectar, analizar y gestionar riesgos asociados con fraude, lavado de activos, financiación del terrorismo y otras conductas ilícitas.
- Realizar controles de seguridad, monitoreo, trazabilidad y gestión de las operaciones.
- Gestionar las relaciones contractuales, comerciales y operativas con clientes, proveedores, aliados y demás terceros.
- Atender solicitudes, consultas, peticiones, quejas y reclamos formulados por los titulares.
- Gestionar los procesos internos necesarios para la administración, funcionamiento y seguridad de las plataformas y servicios.
- Mantener registros y soportes de las operaciones y relaciones desarrolladas, cuando exista una obligación legal, regulatoria, contractual o una finalidad legítima que lo justifique.
- Atender requerimientos de autoridades judiciales, administrativas, regulatorias o de supervisión.
- Realizar las demás actividades que resulten necesarias para el desarrollo de las relaciones existentes, siempre que se encuentren amparadas en una base legal o hayan sido informadas y autorizadas por el titular cuando corresponda.
Las finalidades relacionadas con actividades comerciales, publicitarias o de mercadeo serán tratadas de manera independiente y estarán sujetas a la autorización correspondiente cuando esta sea requerida.
El tratamiento de datos personales se realizará de conformidad con las disposiciones constitucionales y legales aplicables, y cuando corresponda, previa obtención de la autorización del titular, de manera libre, previa, expresa e informada, en los términos establecidos por la normativa vigente.
La autorización será solicitada mediante mecanismos que permitan acreditar su obtención y deberá informar al titular, de manera clara y comprensible, las finalidades para las cuales serán tratados sus datos personales, los derechos que le asisten y los canales dispuestos para ejercerlos. La autorización deberá contemplar, cuando corresponda, que los datos personales podrán ser tratados por TRANSFER X S.A.S., UTRUX ENERGY S.A.S., identificada con NIT 901.703.290-5, y TRUX SV, identificada con NIT 0623-110425-127-0, de acuerdo con las finalidades informadas al titular.
Así mismo la autorización podrá ser obtenida por medios físicos, electrónicos, digitales o mediante cualquier otro mecanismo que permita su posterior consulta y verificación, de acuerdo con los medios utilizados para la recolección de la información.
Cuando el tratamiento se encuentre exceptuado de la autorización del titular por disposición legal, este podrá realizarse sin requerir su consentimiento, siempre que se cumplan las demás obligaciones establecidas en la normativa aplicable.
La autorización podrá ser revocada por el titular en cualquier momento, mediante los canales habilitados para tal efecto, salvo que exista un deber legal o contractual que permita o exija continuar con el tratamiento de los datos personales.
TRANSFER X SAS conservará los soportes que permitan acreditar la autorización obtenida, cuando esta sea requerida, así como la información relacionada con su alcance y las finalidades para las cuales fue otorgada.
El tratamiento de datos sensibles se realizará únicamente cuando resulte necesario y procedente para el desarrollo de las actividades de TRANSFER X SAS, el cumplimiento de obligaciones legales o la gestión de las relaciones con los titulares, de acuerdo con las condiciones establecidas en la normativa aplicable.
Cuando se recolecten datos sensibles, se informará al titular de manera clara sobre el carácter sensible de la información, la finalidad para la cual será tratada y sus derechos frente a dicho tratamiento. El titular no estará obligado a autorizar el tratamiento de datos sensibles, salvo que exista una disposición legal que establezca lo contrario.
Los datos biométricos, por su naturaleza de datos sensibles, serán recolectados y tratados únicamente para finalidades determinadas y relacionadas con la identificación, autenticación y validación de la identidad de los titulares, así como para la seguridad de los procesos y la prevención del fraude, cuando ello resulte necesario y procedente.
Los mecanismos de identificación biométrica podrán comprender la captura y el tratamiento de características físicas o fisiológicas que permitan verificar o autenticar la identidad de una persona, tales como huellas dactilares, características faciales, voz u otros datos biométricos, de acuerdo con las tecnologías y mecanismos implementados.
El tratamiento de datos sensibles y biométricos deberá limitarse a las finalidades informadas al titular y contar con la base jurídica correspondiente. Cuando sea necesaria la autorización del titular, esta deberá obtenerse de manera previa, expresa e informada, sin que el suministro de datos sensibles pueda constituirse, salvo disposición legal, en una condición para acceder a un servicio o realizar una actividad.
La administración de las bases de datos que contengan información sensible o biométrica estará sujeta a medidas de seguridad técnicas, administrativas y organizacionales destinadas a proteger la información frente a accesos, usos, modificaciones, divulgaciones o tratamientos no autorizados.
El acceso a los datos sensibles y biométricos estará restringido a las personas que, en razón de sus funciones o de la prestación de servicios autorizados, requieran conocer o tratar dicha información, quienes estarán obligadas a preservar su confidencialidad y reserva.
El titular podrá ejercer los derechos que le reconoce la normativa aplicable respecto del tratamiento de sus datos personales, de acuerdo con los mecanismos y procedimientos establecidos en la presente Política.
El tratamiento de datos personales de niños, niñas y adolescentes se encuentra sujeto a una protección especial y únicamente podrá realizarse cuando resulte procedente y se cumplan las condiciones establecidas en la normativa vigente.
En todo caso, el tratamiento deberá:
- Responder y respetar el interés superior del niño, niña o adolescente.
- Garantizar el respeto de sus derechos fundamentales.
Cuando resulte procedente el tratamiento y se requiera autorización, esta será solicitada a quien se encuentre facultado legalmente para otorgarla, teniendo en cuenta el derecho del niño, niña o adolescente a ser escuchado y a expresar su opinión, de acuerdo con su madurez, autonomía y capacidad para comprender el asunto.
Los datos personales de niños, niñas y adolescentes únicamente serán tratados para finalidades legítimas, determinadas y pertinentes, evitando la recolección o utilización de información que resulte innecesaria para la finalidad que justifique su tratamiento. Las personas que intervengan en el tratamiento de estos datos deberán garantizar su uso adecuado y observar los principios, deberes y demás obligaciones establecidos en la Ley 1581 de 2012 y sus normas reglamentarias aplicables al marco normativo colombiano. Se adoptarán las medidas necesarias para proteger la seguridad y confidencialidad de esta información y para restringir su acceso a quienes se encuentren autorizados para tratarla.
La atención de las consultas, solicitudes y demás asuntos relacionados con el tratamiento y protección de datos personales de TRANSFER X SAS, estará a cargo del responsable de la protección de datos personales designado por la sociedad, quien atenderá y orientará a los titulares respecto del ejercicio de sus derechos y de las solicitudes relacionadas con el tratamiento de su información.
Los titulares podrán presentar sus peticiones, consultas y reclamos a través de los siguientes canales de atención:
- Correo electrónico: cumplimiento@transferx.com.co
- Teléfono: 3124207521
A través de estos canales, los titulares podrán solicitar información relacionada con el tratamiento de sus datos personales y presentar las solicitudes que correspondan frente al uso de su información. La atención de las solicitudes se realizará de conformidad con los términos, requisitos y procedimientos establecidos en la normativa aplicable en cada jurisdicción y en la presente Política.
Los titulares de los datos personales podrán ejercer los derechos reconocidos en la Ley 1581 de 2012 y demás normas aplicables en el marco normativo colombiano, así como aquellos reconocidos por la normativa aplicable en las demás jurisdicciones en las que TRANSFER X S.A.S. se encuentre sujeta a obligaciones en materia de protección de datos personales incluyendo conocer, actualizar y rectificar sus datos personales; solicitar información sobre el tratamiento realizado y las finalidades para las cuales son utilizados; solicitar, cuando corresponda, prueba de la autorización otorgada; solicitar la supresión de sus datos personales o la revocatoria de la autorización, cuando resulte procedente; acceder gratuitamente a sus datos personales y presentar consultas, solicitudes o reclamos relacionados con el tratamiento de su información a través de los canales establecidos en la presente Política.
Las consultas, solicitudes y reclamos relacionados con el tratamiento de datos personales deberán ser presentados a través de los canales de atención establecidos en la presente Política.
La solicitud deberá indicar el nombre del titular, una descripción clara de la petición y los datos de contacto necesarios para recibir la respuesta. Cuando la solicitud sea presentada por medio de un representante o apoderado, deberá acreditarse dicha condición.
Los titulares podrán consultar gratuitamente sus datos personales y solicitar información relacionada con el tratamiento de los mismos, de conformidad con los derechos reconocidos en la normativa aplicable.
En Colombia, las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recepción. Cuando no sea posible atenderlas dentro de dicho término, se informará al titular la razón de la demora y la fecha en que serán atendidas, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del término inicial.
En las demás jurisdicciones en las que TRANSFER X S.A.S. se encuentre sujeta a obligaciones en materia de protección de datos personales, las consultas serán atendidas dentro de los términos establecidos por la normativa aplicable.
Los titulares podrán presentar reclamos cuando consideren que sus datos personales requieren ser corregidos, actualizados o suprimidos, o cuando adviertan un posible incumplimiento de las disposiciones aplicables en materia de protección de datos personales.
En Colombia, cuando el reclamo se encuentre incompleto, se requerirá al titular dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Si transcurren dos (2) meses desde la fecha del requerimiento sin que se presente la información requerida, se entenderá que ha desistido del reclamo.
En Colombia, una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que indique “reclamo en trámite” y el motivo del mismo, dentro de los dos (2) días hábiles siguientes a su recepción. Esta leyenda se mantendrá hasta que el reclamo sea decidido.
En Colombia, los reclamos serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a su recepción. Cuando no sea posible atenderlos dentro de dicho término, se informará al titular la razón de la demora y la fecha en que serán atendidos, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial.
Cuando quien reciba el reclamo no sea competente para resolverlo, se dará traslado a quien corresponda dentro del término establecido por la normativa aplicable y se informará al titular sobre dicha situación.
En las demás jurisdicciones en las que TRANSFER X S.A.S. se encuentre sujeta a obligaciones en materia de protección de datos personales, los reclamos serán atendidos de conformidad con los términos, requisitos y procedimientos establecidos en la normativa aplicable.
En el desarrollo de sus actividades, la sociedad deberá garantizar que el tratamiento de los datos personales se realice de conformidad con la Constitución, la Ley 1581 de 2012 y demás disposiciones aplicables en Colombia, así como con la normativa aplicable en las demás jurisdicciones en las que se encuentre sujeta a obligaciones en materia de protección de datos personales, observando los principios y obligaciones establecidos en materia de protección de datos personales.
Para tal efecto, deberá:
- Garantizar al titular, en todo momento, el ejercicio efectivo de sus derechos respecto de los datos personales objeto de tratamiento.
- Obtener y conservar, cuando sea requerida, la autorización del titular para el tratamiento de sus datos personales, de acuerdo con las condiciones establecidas en la normativa aplicable.
- Informar al titular de manera clara y suficiente sobre las finalidades del tratamiento y los derechos que le asisten.
- Tratar los datos personales únicamente para las finalidades legítimas, determinadas y autorizadas o que se encuentren amparadas en una base legal.
- Mantener la información personal actualizada, completa, exacta y verificable, y adoptar las medidas necesarias para corregir o actualizar aquella que resulte incorrecta o incompleta.
- Garantizar que el acceso a los datos personales se encuentre limitado a las personas que, de acuerdo con sus funciones o responsabilidades, se encuentren autorizadas para tratarlos.
- Adoptar medidas técnicas, administrativas y organizacionales razonables para proteger los datos personales frente a pérdida, alteración, acceso, uso, divulgación o tratamiento no autorizado.
- Exigir a los encargados del tratamiento y terceros que tengan acceso a datos personales el cumplimiento de las obligaciones de protección, seguridad y confidencialidad que resulten aplicables.
- Atender las consultas, solicitudes y reclamos de los titulares dentro de los términos establecidos en la normativa aplicable.
- Informar a las autoridades competentes cuando exista una obligación legal de hacerlo y suministrar la información requerida dentro del marco de sus competencias.
- Conservar la información personal únicamente durante el tiempo que resulte necesario para el cumplimiento de las finalidades que justificaron su tratamiento o mientras exista una obligación legal, contractual o regulatoria que determine su conservación.
- Abstenerse de tratar datos personales cuya finalidad haya sido cumplida o cuyo tratamiento no se encuentre respaldado por una base jurídica válida, salvo que exista un deber de conservación que resulte aplicable.
- Garantizar que quienes intervengan en el tratamiento de datos personales mantengan la confidencialidad de la información, incluso después de finalizar su relación con la sociedad, cuando corresponda.
El cumplimiento de estos deberes deberá observar la naturaleza de los datos tratados, los riesgos asociados al tratamiento, las características de las operaciones realizadas y las obligaciones legales y contractuales aplicables.
La información personal objeto de tratamiento deberá ser protegida mediante medidas técnicas, administrativas y organizacionales orientadas a prevenir su pérdida, alteración, acceso, uso, divulgación o tratamiento no autorizado.
Las medidas de seguridad se establecerán de acuerdo con la naturaleza de los datos tratados, las finalidades del tratamiento, los riesgos identificados y las características de los sistemas, plataformas y demás medios utilizados para el almacenamiento, consulta y circulación de la información.
El acceso a los datos personales estará limitado a las personas que, de acuerdo con sus funciones o responsabilidades, requieran conocer o tratar dicha información. Los usuarios internos, contratistas, proveedores y terceros autorizados deberán utilizar la información exclusivamente para las finalidades que les hayan sido autorizadas.
Los empleados, contratistas y demás personas autorizadas deberán utilizar exclusivamente los correos corporativos, plataformas, aplicaciones y demás canales aprobados por TRANSFER X S.A.S. para el envío, recepción, almacenamiento y traslado de información relacionada con las actividades de la compañía. En consecuencia, se prohíbe transferir información desde correos corporativos hacia cuentas personales, o viceversa, así como utilizar canales, dispositivos o herramientas no autorizados para gestionar o compartir dicha información, sin contar con la aprobación previa de la compañía.
Cuando, por razones operativas debidamente justificadas, se requiera trasladar o compartir información mediante un canal distinto de los autorizados, deberá obtenerse previamente la aprobación del responsable competente y aplicarse las medidas de seguridad necesarias para proteger la información. Esta autorización no exime del cumplimiento de las obligaciones de confidencialidad, protección de datos personales y demás disposiciones internas aplicables.
Cuando intervengan proveedores tecnológicos, encargados del tratamiento u otros terceros con acceso a datos personales, se deberán establecer las condiciones contractuales y operativas necesarias para preservar la seguridad, confidencialidad y uso adecuado de la información.
Las personas que intervengan en el tratamiento de datos personales estarán obligadas a mantener la confidencialidad de la información a la que tengan acceso en razón de sus funciones o de la relación contractual correspondiente, incluso después de finalizar dicha relación, cuando así resulte aplicable.
TRANSFER X SAS podrá implementar controles de acceso, mecanismos de autenticación, gestión de permisos, trazabilidad, monitoreo, respaldo de información, medidas de protección de sistemas y demás controles que resulten razonables y necesarios para reducir los riesgos asociados al tratamiento de datos personales.
En caso de presentarse un incidente que pueda comprometer la seguridad de los datos personales, se aplicarán los procedimientos internos establecidos para su identificación, gestión, documentación y, cuando corresponda, notificación a las autoridades competentes y comunicación a los titulares afectados, de conformidad con la normativa aplicable.
TRANSFER X SAS establece un procedimiento para la notificación, gestión y respuesta de incidentes relacionados con datos personales, con el propósito de proteger la confidencialidad, integridad y disponibilidad de la información contenida en las bases de datos bajo responsabilidad de la sociedad.
Toda persona que identifique una situación que pueda comprometer datos personales deberá reportarla de forma inmediata al responsable de la protección de datos personales, indicando la información disponible sobre el evento, su fecha y hora, los datos o bases de datos involucrados y las circunstancias conocidas.
Recibido el reporte, se realizará la valoración del incidente para determinar su alcance, las medidas que deban adoptarse y los responsables de su atención. Cuando corresponda, se implementarán acciones de contención, recuperación y corrección. Cada incidente deberá quedar documentado, indicando como mínimo su naturaleza, fecha de detección, información involucrada, medidas adoptadas, responsable de su gestión y estado de cierre.
Cuando el incidente deba ser reportado a una autoridad competente, se efectuará la notificación a través del mecanismo o canal dispuesto para tal efecto, dentro del término establecido por la normativa aplicable. En Colombia, cuando resulte procedente, el reporte se realizará ante la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos (RNBD), de conformidad con las disposiciones aplicables. Si las circunstancias del caso lo requieren, se informará a los titulares afectados sobre el incidente y las medidas adoptadas. Una vez atendido el incidente, se realizará el seguimiento correspondiente y se determinarán las acciones necesarias para evitar su repetición.
Los datos personales podrán ser transferidos y/o transmitidos a terceros ubicados dentro o fuera del territorio colombiano, incluyendo UTRUX ENERGY S.A.S., identificada con NIT 901.703.290-5, y TRUX SV, identificada con NIT 0623-110425-127-0, cuando ello resulte necesario para el desarrollo de las actividades relacionadas con pagos y transferencias transfronterizas, así como para el cumplimiento de las finalidades informadas al titular y de las obligaciones legales aplicables.
La transmisión podrá realizarse a proveedores tecnológicos, entidades financieras, aliados comerciales y demás terceros que actúen como encargados del tratamiento y que intervengan en procesos relacionados con la operación de las plataformas, validación de identidad, procesamiento de operaciones, almacenamiento, seguridad de la información, monitoreo, prevención del fraude, soporte tecnológico u otros servicios necesarios para la operación.
La transferencia podrá realizarse a terceros que actúen como responsables del tratamiento cuando resulte necesaria para la ejecución de operaciones, el desarrollo de relaciones contractuales o comerciales, la gestión de riesgos o el cumplimiento de obligaciones legales y requerimientos de las autoridades competentes.
Cuando se realicen transferencias o transmisiones internacionales, se deberán observar las condiciones y requisitos establecidos en la normativa aplicable en cada jurisdicción, incluyendo, cuando corresponda, las disposiciones relacionadas con la transferencia o transmisión de datos personales a países que no cuenten con un nivel adecuado de protección.
Las transferencias y transmisiones se limitarán a los datos que resulten necesarios para la finalidad correspondiente y deberán realizarse bajo condiciones que garanticen su adecuado tratamiento, seguridad y confidencialidad.
Cuando resulte aplicable en colombia, las bases de datos personales bajo responsabilidad de TRANSFER X S.A.S. serán inscritas en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, de conformidad con los requisitos, términos y condiciones establecidos en la normativa vigente.
Las bases de datos que se encuentren sujetas a registro deberán mantenerse actualizadas y la información reportada deberá corresponder con las características y condiciones reales de las bases de datos objeto de tratamiento. La creación, modificación o actualización de las bases de datos deberá ser gestionada teniendo en cuenta las obligaciones de reporte que resulten aplicables y los términos establecidos por la Superintendencia de Industria y Comercio.
El responsable designado para la protección de datos personales coordinará las actividades necesarias para atender las obligaciones relacionadas con el RNBD, incluyendo su registro, actualización y reporte de información, cuando corresponda.
La información y los documentos que contengan datos personales deberán ser gestionados de manera organizada y conservados bajo condiciones que permitan garantizar su integridad, disponibilidad, confidencialidad y consulta, de acuerdo con las finalidades del tratamiento y las obligaciones legales, contractuales o regulatorias aplicables.
Los soportes relacionados con la autorización del titular, las solicitudes y reclamos, las actividades de tratamiento y demás actuaciones que deban ser acreditadas serán conservados durante el tiempo necesario para cumplir las finalidades correspondientes o mientras exista una obligación que justifique su conservación.
Una vez cumplido el período de conservación aplicable y siempre que no exista un deber legal, contractual o regulatorio que exija mantener la información, se adoptarán las medidas necesarias para su eliminación, anonimización o disposición segura, según corresponda.
La presente Política podrá ser modificada o actualizada cuando resulte necesario como consecuencia de cambios en la normativa aplicable, en las actividades desarrolladas, en los procesos de tratamiento de datos personales o en las condiciones operativas y tecnológicas de la sociedad.
Las modificaciones serán comunicadas a los titulares a través de los canales habilitados para tal efecto, indicando, cuando corresponda, los cambios relevantes y la fecha a partir de la cual serán aplicables.
Cuando una modificación implique cambios sustanciales en las finalidades del tratamiento o en las condiciones bajo las cuales se realiza, se adoptarán las medidas necesarias para garantizar el cumplimiento de las obligaciones legales aplicables.
La presente Política rige a partir de su aprobación y permanecerá vigente mientras se realice tratamiento de datos personales bajo responsabilidad de la sociedad. Las modificaciones o actualizaciones que se realicen entrarán en vigor en la fecha indicada en la versión correspondiente.