El presente Manual contiene la descripción de los aspectos que Iris CF-Compañía de Financiamiento S.A., en adelante LA ENTIDAD, tiene en cuenta para garantizar el correcto Tratamiento de los Datos Personales de conformidad con lo establecido en la Ley 1266 de 2008, Ley 1581 de 2012 y sus Decretos Reglamentarios, así como las Circulares y guías proferidas por la Superintendencia de Industria y Comercio, como autoridad encargada de la protección de datos personales.
Nombre: Iris CF- Compañía de Financiamiento S.A
NIT: 811.007.729-4
Domicilio: Carrera 43 A 7 50 A Piso 17
Ciudad: Medellín
Correo electrónico: servicio_cliente@iris.com.co
Página web: www.iris.com.co
En el presente Manual se desarrollan los parámetros y reglas usadas por LA ENTIDAD para garantizar el correcto tratamiento de los datos personales, en especial, el procedimiento para atender las quejas, consultas y reclamos presentados por los titulares en ejercicio del habeas data.
El presente Manual aplica para la información de las personas naturales y jurídicas registradas en las bases de datos de LA ENTIDAD, por lo cual, debe ser cumplida por los directivos, funcionarios, contratistas y terceros que laboren dentro de LA ENTIDAD o tengan relación directa con ella.
Desde el artículo 15 de la Constitución Política de Colombia, se consagra el derecho fundamental que tienen las personas de conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. Es así, que con el fin de dar cumplimiento al mandato constitucional se han desarrollado una serie de normas que regulan el tratamiento de los datos personales:
A través de esta Ley se regula el manejo de la información contenida en bases de datos personales, especialmente la de carácter financiero, crediticio, comercial y de servicios.
Esta Ley tiene por objeto regular el tratamiento de los datos personales que se aplique a finalidades diferentes a las tratadas en la Ley Especial 1266 de 2008, asimismo dispone que los principios sobre protección de datos serán aplicables a todas las bases incluyendo las manejadas de conformidad con la Ley Especial.
Por medio del cual se compilan los Decretos 866 de 2014 y 1377 de 2015 a través de los cuales se reglamentan la Ley 1581 de 2012.
La cual tiene por objeto fijar estándares de un nivel adecuado de protección en la transferencia internacional de datos personales.
A través de la cual se incluye un país dentro de la lista de países que cuentan con un nivel adecuado de protección de datos personales, de acuerdo con los estándares fijados por la Superintendencia de Industria y Comercio.
A través de la cual se analizó la constitucionalidad de la Ley 1266 de 2008.
A través de la cual se analizó la Constitucionalidad del Proyecto de Ley Estatutaria de Protección de Datos Personales.
Dispone que la reserva bancaria es una de las garantías más valiosas que tienen los clientes o usuarios que transfieren a las entidades vigiladas su información personal e intimidad económica. A su vez, establece la obligación de las entidades vigiladas de guardar discreción sobre los datos de los consumidores financieros.
En todo caso, para la aplicación e interpretación de las reglas desarrolladas en el presente Manual, se aplicarán las demás normas que regulen lo concerniente a la protección de datos personales.
Para una correcta interpretación de los conceptos utilizados en el presente Manual, en las Políticas de Tratamiento de Datos Personales, en las Autorizaciones para el Tratamiento de Datos Personales y en el Aviso de Privacidad, se presentan las siguientes definiciones:
Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
Conjunto organizado de datos personales que sea objeto de Tratamiento.
Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Es el dato calificado como tal, según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la Ley 1266 de 2008. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas.
Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios.
Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.
Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
Persona natural o jurídica cuyos datos personales sean objeto de Tratamiento; dentro de los cuales se encuentran clientes, proveedores, accionistas, candidatos de procesos de selección, empleados y cualquier otra persona cuyos datos sean objeto de Tratamiento por parte de LA ENTIDAD.
Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
Es el dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación.
Es el directorio público de las bases de datos sujetas a tratamiento que operan en el país. El cual será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.
Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.
La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.
Comunicación verbal o escrita generada por el responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa la existencia de políticas de Tratamiento de Datos personales que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento.
Se refiere al documento aplicable por LA ENTIDAD a través del cual se establecen los criterios para la recolección, procesamiento, individualización, validación, custodia, transmisión, transferencia, supresión de los datos personales.
Es la persona cuya función es la vigilancia y control de la aplicación de la Política de Protección de Datos Personales.
El Tratamiento de Datos Personales en LA ENTIDAD, se guiará por los siguientes principios:
LA ENTIDAD aplicará el Tratamiento a que se refiere la Ley 1581 de 2012, la cual es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen.
LA ENTIDAD tratará los datos con una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al Titular.
LA ENTIDAD ejercerá el Tratamiento de la información con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
La información sujeta a Tratamiento por parte de LA ENTIDAD debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
LA ENTIDAD garantiza el derecho del Titular a obtener en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones de la Ley 1581 de 2012 y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las que la ley autorice. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la Ley 1581 de 2012.
LA ENTIDAD garantizará que todas las personas que intervengan en el Tratamiento de Datos Personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en Ley 1581 de 2012 y en los términos de la misma.
La información sujeta a Tratamiento por parte de LA ENTIDAD a que se refiere la Ley 1581 de 2012, se manejará con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La información del Titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos.
El presente Manual se interpretará en el sentido de que se amparen adecuadamente los derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Los derechos de los Titulares se interpretarán en armonía y en un plano de equilibrio con el derecho a la información previsto en el artículo 20 de la Constitución y con los demás derechos constitucionales aplicables.
Los Titulares de los datos personales que trata LA ENTIDAD tendrán los siguientes derechos:
Los derechos de los Titulares de los datos consagrados en la Ley, en el presente Manual y en la Política de Tratamiento de datos, pueden ser ejercidos por las siguientes personas:
LA ENTIDAD nombrará a una persona o área para asumir la función de protección de los datos personales de los Titulares, quien les dará trámite a las solicitudes de los Titulares de los datos, relacionadas con el ejercicio de sus derechos.
De igual modo, LA ENTIDAD cuenta con procedimientos que permiten asegurar que los datos personales que se encuentran en las bases de datos son precisos y suficientes, y cuando así lo solicite el Titular o cuando LA ENTIDAD lo advierta puedan ser actualizados, rectificados o suprimidos de acuerdo con las finalidades del tratamiento.
LA ENTIDAD en su calidad de Responsable del Tratamiento de los Datos personales cuenta con los respectivos formatos para obtener la autorización del Titular para el Tratamiento de datos de manera previa, expresa e informada y que permita ser consultada de forma posterior, por lo cual, se conservará la prueba de dicha autorización.
En las respectivas autorizaciones, se encuentran las finalidades del Tratamiento de los Datos, un acápite relacionado con los datos sensibles, los Derechos del Titular, dirección electrónica a la cual puede dirigirse el Titular así como un campo para que otorgue su autorización. En caso de que la autorización se de a través de firma, esta podrá ser física o digital. Adicional a lo anterior, LA ENTIDAD también podrá obtener la autorización de parte del Titular de los datos a través de los siguientes medios: de forma oral, escrita y mediante conductas inequívocas del titular que permitan concluir que este otorgó su autorización de forma razonable.
Es importante anotar, que de conformidad con lo dispuesto en el artículo 10 de la Ley 1581 de 2012, la Autorización del Titular no será necesaria cuando se trate de:
a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
b) Datos de naturaleza pública;
c) Casos de urgencia médica o sanitaria;
d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
e) Datos relacionados con el Registro Civil de las Personas.
Asimismo, los datos personales que se encuentren en fuentes de acceso público pueden ser tratados por LA ENTIDAD, siempre y cuando se trate de datos públicos.
El Titular de los datos podrá solicitarle a LA ENTIDAD la supresión de sus datos personales y/o revocar la autorización, a través de la respectiva reclamación, esto aplicará siempre y cuando no se tenga el deber legal o contractual de permanecer en la base de datos.
La información que sea tratada por LA ENTIDAD se podrá suministrar a:
LA ENTIDAD podrá realizar el Tratamiento de datos sensibles, siempre y cuando:
a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;
b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;
c) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
d) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.
LA ENTIDAD aplica las siguientes reglas para el tratamiento de los datos sensibles:
LA ENTIDAD, se asegura de respetar los derechos de los niños, niñas y adolescentes entendiendo que estos son prevalentes.
En caso de que LA ENTIDAD realice el tratamiento de datos personales de niños, niñas y adolescentes, debe respetar el interés superior de estos, así como sus derechos fundamentales.
En todo caso, el representante legal del niño, niña o adolescente debe otorgar la autorización, previo a escuchar al menor.
LA ENTIDAD en su calidad de Responsable de los datos debe cumplir con los siguientes deberes:
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
b) Solicitar y conservar, en las condiciones previstas en el Manual, copia de la respectiva autorización otorgada por el Titular.
c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.
g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en el presente Manual.
i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.
j) Tramitar las consultas y reclamos formulados en los términos señalados en el presente Manual.
k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de lo dispuesto en este Manual y las Leyes de protección de datos personales en especial, para la atención de consultas y reclamos.
l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
m) Informar a solicitud del Titular sobre el uso dado a sus datos.
n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los Códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
o) Cumplir las instrucciones y requerimientos que impartan las autoridades competentes.
En caso de que LA ENTIDAD actúe como Encargado del Tratamiento de los datos, deberá tener en cuenta lo siguiente:
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos del presente Manual.
d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.
e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en este Manual.
f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento del presente Manual y de las leyes de protección de datos personales y, en especial, para la atención de consultas y reclamos por parte de los Titulares.
g) Registrar en la base de datos la leyenda “reclamo en trámite” en la forma en que se regula en la ley.
h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez sea notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por las autoridades competentes.
j) Permitir el acceso a la información únicamente a las personas que estén autorizadas para tener acceso a ella.
k) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
l) Cumplir las instrucciones y requerimientos que imparta la autoridad competente en materia de protección de datos.
Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en la base de datos de LA ENTIDAD, a través del correo electrónico: servicio_cliente@iris.com.co.
Se garantiza que los Titulares o sus causahabientes puedan consultar de forma gratuita sus datos personales en los siguientes eventos:
La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
Los Titulares o sus causahabientes que consideren que la información contenida en la base de datos de LA ENTIDAD debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en este Manual, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:
a). El reclamo se formulará mediante solicitud dirigida al correo electrónico: servicio_cliente@dannregional.com.co, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañado de los documentos que se quieran hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del este para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
b). Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
c). El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
En todo caso, el Titular o su causahabiente sólo podrá elevar queja ante la autoridad competente, una vez haya agotado el trámite de consulta o reclamo ante el Responsable o Encargado del Tratamiento.
LA ENTIDAD designa como responsable de la atención de peticiones, consultas y reclamos que realicen los Titulares sobre sus derechos a conocer, actualizar, rectificar y suprimir sus datos y revocar la autorización al Oficial de Protección de Datos Personales, quien tendrá un equipo de apoyo para garantizar una adecuada gestión de sus deberes.
LA ENTIDAD cuenta con una Política para el Tratamiento de datos Personales, la cual se encuentra puesta a disposición de los Titulares y de los interesados en las siguientes páginas web: www.dannregional.com.co; www.iris.com.co.
En todo caso, LA ENTIDAD velará porque los Encargados del Tratamiento de los datos cumplan con las Políticas.
En caso de que se presenten cambios sustanciales en el contenido de las Políticas de Tratamiento de datos personales de LA ENTIDAD, dichas modificaciones serán comunicadas a los Titulares de los datos a más tardar al momento de su implementación a través de los medios que estime convenientes para tal fin.
A través del Aviso de Privacidad, LA ENTIDAD informa oportunamente al Titular acerca de la existencia de las Políticas para el Tratamiento de los datos personales y la forma de acceder a estas, a más tardar al momento de la recolección de los datos personales.
El Aviso de Privacidad se encuentra a disposición de los Titulares de los Datos en las páginas web de LA ENTIDAD: www.iris.com.co, www.dannregional.com.co.
LA ENTIDAD cumple con su deber de realizar el Registro Nacional de Bases de Datos dentro de los plazos y condiciones dispuestos por la Superintendencia de Industria y Comercio.
En caso de que LA ENTIDAD realice la transferencia o transmisión internacional de datos personales, se deberán tener en cuenta lo siguiente:
En caso de que el Encargado realice por cuenta de LA ENTIDAD el tratamiento de los datos personales bajo su control y responsabilidad, se deberá suscribir un contrato en el cual se deben señalar lo siguiente:
La persona que sea designada como Oficial de Protección de datos personales debe tener formación en aspectos de protección de datos personales.
El Oficial de Protección de Datos Personales debe presentar reportes a la organización de manera semestral acerca del seguimiento y cumplimiento de la normatividad vigente de acuerdo con las políticas de tratamiento de datos personales.
| Act. No | Actividad | Control | Entrada | Descripción | Salida |
|---|---|---|---|---|---|
| 00 | Nombre de la actividad | Actividad de control | Elementos físicos, humanos, técnicos, información o documentación necesaria para desarrollar la actividad | Contenido y desarrollo de la actividad | Documentos y/o servicios resultantes de la actividad |
| 01 | Suscripción de autorización | None | Autorización física o digital | El área que requiera recolectar datos personales de clientes, proveedores, accionistas o demás grupos interés; deberá hacer que el titular de los datos suscriba la respectiva autorización (física o digital). | Autorización de Tratamiento de Datos personales. |
| 02 | Recolección de los datos personales | None | Recolección del dato | Una vez suscrita la autorización (física o digital) se puede realizar la recolección de los datos personales de los titulares, a través de los formularios y documentación anexa establecidos para tal fin. | Formularios (físicos o digitales) diligenciados con sus respectivos anexos. |
| 03 | Custodia de los datos personales recolectados | Conservación de los datos personales en los archivos de la compañía definidos para tal fin | Se almacenan los datos personales del titular en Workmanager en la carpeta que está creada en la Compañía a su nombre, a las cuales únicamente deberán tener acceso el personal estrictamente necesario para su tratamiento según las finalidades autorizadas por el titular. En caso de que la recolección del dato personal se haya dado a través de medios digitales, estos se almacenan en el software de gestión de clientes que tenga la Financiera y sólo podrá tener acceso el personal estrictamente necesario para su tratamiento según las finalidades autorizadas por el titular. | Carpetas en Workmanager (WM) | |
| 04 | Uso de los datos personales de acuerdo con las finalidades autorizadas por el titular y los objetivos de la Compañía | None | Uso del dato según requerimiento de la compañía | Cada área usará los datos personales de acuerdo con las finalidades autorizadas por el titular y para los temas estrictamente necesarios, de cara al cumplimiento de los objetivos de la Compañía. Se deberá velar porque los datos no sean usados por personal no autorizado. Cada área deberá tener mecanismos de control para el acceso a los datos personales. | Seguridad de las carpetas de las áreas |
| 05 | Eliminación de los datos personales | None | Eliminación del dato | La eliminación del dato personal podrá darse por las siguientes causales: 1. Solicitud del Titular de sus apoderados, causahabientes o representantes amparado en la Ley 1581 de 2012 y demás normas que la modifiquen o adicionen. 2. Orden judicial o administrativa. Para la atención de estas solicitudes se deberá tener en cuenta lo dispuesto en este Manual y en la Política de Tratamiento de datos personales. | None |
LA ENTIDAD está en la capacidad de demostrar, a solicitud de las autoridades competentes, que ha implementado medidas adecuadas para cumplir con lo dispuesto en el presente Manual y con las normas sobre tratamiento de datos personales.
El presente Manual de Políticas y Procedimientos Internos de Protección de Datos Personales, rige a partir de su publicación y permanecerá vigente hasta que sea modificado o revocado por LA ENTIDAD.
¡Así de cerca, Así de simple, Así de claro!
Hablemos de cómo podemos impulsar juntos el éxito de tu empresa.
Al continuar la navegación, el usuario autoriza que el portal web, IRIS powered by Iris CF – Compañía de Financiamiento S.A., haga uso de Cookies.
