Tratamiento y Protección de Datos Personales

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

Conforme al Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 (que compilo el Art. 13 del Decreto 1377 de 2013), se identifica al Responsable del Tratamiento de la siguiente manera:

Nota: INGENIERIA APROPIADA S.A.S. actúa como Responsable del Tratamiento respecto de los datos que recopila directamente de sus titulares, y como Encargado del Tratamiento cuando gestiona datos personales por cuenta de sus clientes (Responsables). En este último rol, su actuación se rige adicionalmente por el contrato de encargo respectivo.

2. MARCO NORMATIVO Y ÁMBITO DE APLICACIÓN

La presente Política se fundamenta en la siguiente normativa vigente en Colombia:

Esta Política aplica a todas las operaciones de tratamiento de datos personales que realice INGENIERÍA APROPIADA S.A.S. en el territorio colombiano o que involucren datos de titulares residentes en Colombia, sin importar el medio o soporte utilizado (físico, digital, en la nube), e incluyendo las operaciones realizadas a través de sus filiales.

3. DEFINICIONES

Para efectos de la presente Política, los siguientes términos tienen el significado que se indica a continuación, conforme a las definiciones consagradas en el Artículo 3 de la Ley 1581 de 2012 y el Artículo 2.2.2.25.1.1 del Decreto 1074 de 2015:

4. PRINCIPIOS RECTORES DEL TRATAMIENTO

INGENIERÍA APROPIADA S.A.S. aplica los siguientes principios en todas sus operaciones de tratamiento de datos personales, conforme al Artículo 4 de la Ley 1581 de 2012:

• Legalidad: El tratamiento de datos se realiza con sujeción a lo establecido en la Ley 1581 de 2012 y demás normas aplicables.
• Finalidad: El tratamiento obedece a finalidades legítimas, concretas, determinadas y previamente informadas al titular o acordadas con él.
• Libertad: El tratamiento sólo puede realizarse con el consentimiento previo, expreso e informado del titular. Los datos no pueden obtenerse por medios fraudulentos, engañosos o no autorizados.
• Veracidad o calidad: La información tratada debe ser veraz, completa, exacta, actualizada y comprobable. Se prohíbe el tratamiento de datos parciales, incompletos o que induzcan a error.
• Transparencia: El titular puede obtener en cualquier momento y sin restricciones información sobre los datos que reposan en las bases de datos de la empresa y el uso dado a los mismos.
• Acceso y circulación restringida: El tratamiento y la circulación de datos se realiza solo por personas autorizadas por el titular o habilitadas por la ley; no está disponible en internet ni para terceros no autorizados.
• Seguridad: La empresa adopta las medidas técnicas, humanas y administrativas necesarias para garantizar la seguridad de los registros y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
• Confidencialidad: Las personas involucradas en el tratamiento, incluso una vez finalizada su relación contractual, están obligadas a guardar reserva sobre los datos personales.

5. BASES JURÍDICAS DEL TRATAMIENTO

El tratamiento de datos personales por parte de INGENIERÍA APROPIADA S.A.S. se fundamenta en alguna de las siguientes bases de legitimación, conforme a los Artículos 6, 9 y 10 de la Ley 1581 de 2012:

a. Autorización del titular: Base principal para el tratamiento de datos personales no sensibles. Debe ser previa, expresa e informada. Se obtiene mediante mecanismos escritos, digitales o verbales con constancia de prueba.

b. Autorización reforzada: Para datos sensibles (Art. 6 Ley 1581/2012), se requiere autorización explícita, voluntaria y no condicionada del titular, con información clara sobre la naturaleza sensible del dato.

c. Habilitación legal: Cuando una norma jurídica de rango legal exige o permite el tratamiento sin autorización previa (Art. 10 Ley 1581/2012). Ej.: obligaciones tributarias, contables, laborales, de salud pública.

d. Relación contractual: Cuando el tratamiento es necesario para la ejecución del contrato que vincula a la empresa con el titular, o para la adopción de medidas precontractuales a solicitud de este.

e. Interés vital: Cuando el tratamiento es indispensable para salvaguardar el interés vital del titular o de otra persona natural, y el titular se encuentre imposibilitado para otorgar su autorización.

Datos sensibles: Para el tratamiento de datos de salud, biométricos, datos de menores de edad u otros datos sensibles, se aplicarán medidas de protección reforzadas conforme a los Arts. 5, 6 y 7 de la Ley 1581/2012. El tratamiento de datos de menores de edad requiere autorización del representante legal y prevalece el interés superior del menor (Art. 7).

6. FINALIDADES DEL TRATAMIENTO

Conforme al Artículo 2.2.2.25.3.1 numeral 2 del Decreto 1074 de 2015, se describen a continuación las finalidades para las cuales INGENIERÍA APROPIADA S.A.S. trata los datos personales según el rol que ostenta (Responsable o Encargado) y la categoría del titular:

7. DERECHOS DE LOS TITULARES

Conforme a los Artículos 8 y 9 de la Ley 1581 de 2012, los titulares de datos personales cuyos datos sean tratados por INGENIERÍA APROPIADA S.A.S. tienen los siguientes derechos, los cuales pueden ejercerse en cualquier momento de forma gratuita:

Tiempo Plazos legales: Consultas: 10 días hábiles (prorrogables 5 días hábiles adicionales con justificación). Reclamos: 15 días hábiles (prorrogables 8 días hábiles adicionales). Plazos contados a partir del día siguiente a la recepción de la solicitud. Fuente: Arts. 14 y 15, Ley 1581/2012.

8. PROCEDIMIENTO PARA EL EJERCICIO DE DERECHOS (PQR)

8.1 Canales de atención

Los titulares, causahabientes o representantes legales debidamente acreditados pueden ejercer sus derechos a través de los siguientes canales:

8.2 Procedimiento para consultas (Art. 14, Ley 1581/2012)

a. El titular o sus causahabientes radicarán la solicitud indicando: (i) nombre completo e identificación, (ii) datos de contacto, (iii) descripción clara de la información que desea consultar, (iv) prueba de la identidad o representación cuando aplique.

b. La empresa dará respuesta en un término máximo de diez (10) días hábiles contados a partir de la fecha de recepción. Si no fuere posible atender la consulta en ese término, se informará al titular, expresando los motivos y la fecha en que se atenderá, la cual no podrá superar cinco (5) días hábiles adicionales.

8.3 Procedimiento para reclamos (Arts. 15 y 16, Ley 1581/2012)

a. La solicitud de rectificación, actualización, supresión o revocación deberá contener: (i) nombre completo e identificación del titular, (ii) descripción precisa de los datos objeto de correcto tratamiento y el tratamiento al que el titular se opone, (iii) domicilio o datos de notificación, (iv) documentos que soportan el reclamo.

b. Si el reclamo estuviera incompleto, dentro de los cinco (5) días hábiles siguientes a su recepción se requerirá al titular para que subsane las fallas. Si no se subsana en dos (2) meses, se entenderá por desistida la reclamación.

c. Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda "reclamo en trámite" mientras se resuelve.

d. El término para resolver el reclamo será máximo quince (15) días hábiles. De no ser posible, se comunicará al titular antes del vencimiento con indicación de la nueva fecha, que no podrá exceder ocho (8) días hábiles adicionales.

e. Agotado el trámite ante el Responsable sin satisfacción, el titular podrá acudir ante la Superintendencia de Industria y Comercio – SIC.

9. BASES DE DATOS Y PERIODO DE CONSERVACIÓN

INGENIERÍA APROPIADA S.A.S. mantiene las siguientes categorías de bases de datos, registradas ante el RNBD de la SIC conforme al Decreto 886 de 2014:

Eliminación segura: Vencido el periodo de conservación, los datos serán eliminados o anonimizados de forma segura mediante procedimientos que garanticen la imposibilidad de recuperación. Para datos en soporte físico se aplicará destrucción certificada; para datos digitales, borrado seguro conforme a estándares NIST SP 800-88.

10. MEDIDAS DE SEGURIDAD DE LA INFORMACIÓN

En cumplimiento del principio de seguridad (Art. 4 lit. g, Ley 1581/2012), INGENIERÍA APROPIADA S.A.S. implementa las siguientes medidas para proteger los datos personales de acceso, uso, divulgación, destrucción o modificación no autorizados:

10.1 Medidas técnicas

• Control de acceso por roles y perfiles con autenticación de doble factor (2FA) para sistemas críticos.
• Cifrado de datos en tránsito (TLS 1.2+) y en reposo para bases de datos que contengan datos sensibles.
• Copias de respaldo (backups) automáticas con almacenamiento en educación secundaria y pruebas de restauración periódicas.
• Registro de auditoría (logs) de acceso, modificaciones y eliminación de datos personales.
• Uso de software antivirus, firewall y sistemas de detección de intrusiones (IDS).
• Actualización periódica de sistemas operativos, aplicaciones y parches de seguridad.

10.2 Medidas administrativas

• Política de clasificación de la información según el nivel de sensibilidad del dato.
• Acuerdos de confidencialidad con todos los empleados, contratistas y terceros que accedan a datos personales.
• Capacitación anual obligatoria en protección de datos para todo el personal.
• Procedimiento formal de gestión de incidentes de seguridad con notificación a la SIC y a los titulares afectados cuando corresponda.
• Evaluación de proveedores y encargados con verificación de sus medidas de seguridad antes de la contratación.

10.3 Medidas físicas

• Control de acceso físico a instalaciones mediante tarjetas de acceso y registro de visitantes.
• Sistema de videovigilancia (CCTV) con aviso visible conforme al Art. 2.2.2.25.1.5 del Decreto 1074 de 2015.
• Escritorios despejados (clean desk policy) y bloqueo automático de equipos por inactividad.
• Destrucción certificada de documentos físicos con datos personales mediante trituradora o empresa especializada.

11. TRANSFERENCIA Y TRANSMISIÓN DE DATOS PERSONALES

11.1 Transmisión a Encargados del Tratamiento

Cuando INGENIERIA APROPIADA S.A.S. comparte datos personales con terceros que actúan como Encargados (ej.: proveedores tecnológicos, plataformas en la nube, empresas de mensajería), se suscribirán previamente un Contrato de Transmisión de Datos Personales que garantice:

• Que el Encargado solo tratará los datos para las finalidades autorizadas por el Responsable.
• Que el Encargado adoptará medidas de seguridad equivalentes a las del Responsable.
• Que el Encargado dará aviso inmediato al Responsable sobre cualquier incidente de seguridad.
• Que devolverá o destruirá los datos al finalizar la relación contractual.

La empresa recibe datos personales en calidad de Encargado bajo contrato de transmisión vigente.

11.2 Transferencia internacional de datos

La transferencia de datos personales a países que no proporcionen niveles adecuados de protección solo podrá realizarse cuando se acredite alguna de las siguientes condiciones, conforme al Artículo 26 de la Ley 1581 de 2012:

a. El titular ha otorgado su autorización expresa e inequívoca para la transferencia.

b. Existe un contrato de compraventa, prestación de servicios u otro contrato que

exija la transferencia para su ejecución.

c. La transferencia es necesaria para proteger el interés vital del titular.

d. La transferencia es legalmente requerida para la salvaguarda del interés público

o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

e. La SIC ha emitido declaración de conformidad o existen cláusulas contractuales

tipo que garantizan el nivel de protección adecuado.

Nota RNBD: Toda transferencia o transmisión de datos personales que impliquen salida de datos fuera del territorio colombiano debe ser reportada por el Responsable en el RNBD de la SIC al momento de la inscripción o actualización anual (Art. 25 Ley 1581/2012; Dec. 886/2014).

12. TRATAMIENTO DE DATOS SENSIBLES Y DE MENORES DE EDAD

12.1 Datos sensibles

INGENIERÍA APROPIADA S.A.S. únicamente tratará datos sensibles cuando cuente con la autorización expresa del titular, cuando el tratamiento sea imprescindible para salvaguardar el interés vital del titular, o cuando el tratamiento esté autorizado por ley. En todo caso:

• Se informará claramente al titular el carácter sensible del dato y las implicaciones de su tratamiento.
• La autorización no podrá obtenerse como condición para la prestación del servicio cuando el dato sensible no sea necesario para dicho servicio.
• Se implementarán controles de acceso reforzados, registro de auditoría y cifrado para este tipo de datos.
• Se mantendrá un registro de las actividades de tratamiento de datos sensibles.

12.2 Datos de menores de edad

En cumplimiento del Artículo 7 de la Ley 1581 de 2012, el tratamiento de datos personales de niños, niñas y adolescentes (menores de 18 años) requiere:

• Autorización de los padres o representantes legales del menor.
• Que el tratamiento responda y respete el interés superior del menor.
• Que se asegure el respeto de los derechos fundamentales del menor.

En ningún caso INGENIERÍA APROPIADA S.A.S. recopilará directamente datos de menores de edad sin verificar la identidad del representante legal y sin obtener su autorización expresa.

12.3 Videovigilancia

Las cámaras de videovigilancia instaladas en las instalaciones de la empresa están sujetas al siguiente régimen:

• Se coloca aviso visible en un lugar de fácil lectura según lo exige el Art. 2.2.2.25.1.5 del Decreto 1074 de 2015.
• Las imágenes se conservan un máximo de 30 días calendario, tras los cuales son eliminadas de forma segura.
• Solo tendrán acceso a las imágenes el personal autorizado y las autoridades competentes en los casos previstos por la ley.

13. REGISTRO NACIONAL DE BASES DE DATOS (RNBD)

En cumplimiento del Artículo 25 de la Ley 1581 de 2012 y del Decreto 886 de 2014 (compilado en el Capítulo 26 del Decreto 1074 de 2015), INGENIERÍA APROPIADA S.A.S. mantiene actualizado el registro de sus bases de datos ante el RNBD administrado por la Superintendencia de Industria y Comercio (SIC).

• La actualización del RNBD se realiza anualmente durante los meses de febrero y marzo de cada año.
• Se reporta la información de todos los Encargados del Tratamiento que accedan a datos personales por cuenta de la empresa.
• Cuando INGENIERIA APROPIADA S.A.S. actúa como Encargado de un Responsable, suministra de forma oportuna la información de su Política de Tratamiento y demás datos requeridos por el Responsable para el diligenciamiento del RNBD.
• La Política de Tratamiento se mantiene publicada y disponible en la página web corporativa en cumplimiento del Art. 2.2.2.25.3.1 del Decreto 1074 de 2015.

14. OFICIAL DE PROTECCION DE DATOS PERSONALES

Conforme al Artículo 2.2.2.25.3.1 numeral 4 del Decreto 1074 de 2015, INGENIERÍA APROPIADA S.A.S. Designa el área de Soporte como responsable de atender las peticiones, consultas y reclamos de los titulares en relación con sus datos personales.

15. VIGENCIA Y ACTUALIZACIONES

La presente Política de Tratamiento y Protección de Datos Personales entra en vigencia a partir del 1 de marzo de 2026 y permanecerá vigente de forma indefinida, sin perjuicio de las actualizaciones que se realicen para adaptarla a cambios normativos, cambios en las actividades de tratamiento o recomendaciones de la Superintendencia de Industria y Comercio.

• Las actualizaciones sustanciales de la Política serán comunicadas a los titulares a través de los canales habituales de comunicación (correo electrónico, página web) con un mínimo de 10 días hábiles de anticipación a su entrada en vigencia.
• La versión vigente de la Política estará siempre disponible en: https://iapropiada.com/
• Las versiones anteriores de la Política se conservarán en el archivo de la empresa por un periodo de 5 años.

16. APROBACION Y PUBLICACION

La presente Política fue elaborada con el acompañamiento de Enfoque Legal S.A.S. (T.P. N° 164.893) y aprobada por la Representación Legal de INGENIERÍA APROPIADA S.A.S. Se ordena su publicación en la página web corporativa y su comunicación a todos los empleados, colaboradores, clientes, proveedores y demás grupos de interés.

Nos reservamos el derecho a editar el contenido de esta política sin previo aviso.